PHP Usang Ancam Keamanan Server Pemerintah dan Korporasi

Kendari, ıNarasikita - Pemindaian menyeluruh terhadap server Indonesia yang terhubung langsung ke internet pada 23 Oktober 2026 mengungkap bahwa sekitar 89.193 host menjalankan PHP, dengan dominasi versi yang telah berhenti dukungan resmi dari pengembang. Dari total 99.896 identifikasi versi, hampir 70 persen menggunakan PHP versi End of Life (EOL), yang tidak lagi menerima pembaruan keamanan. Sementara itu, hanya 226 server dari keseluruhan yang telah menerapkan patch terbaru, menunjukkan tingkat perlindungan yang sangat minim.

Kerentanan ini paling tinggi terjadi pada sektor pemerintah dan korporasi. Di domain .go.id, 1.621 dari 1.677 server (96,7 persen) masih menggunakan PHP EOL, terutama versi 5.6.40 yang tidak didukung sejak 2018. Pada sektor perusahaan dengan domain .co.id, 4.495 dari 4.650 server (96,7 persen) juga mengandalkan versi usang yang sama. Sementara itu, institusi pendidikan seperti perguruan tinggi (.ac.id) mencatat 88,7 persen server menggunakan PHP EOL, terutama versi 7.4.33, sedangkan sekolah (.sch.id) menunjukkan 69,9 persen dari 73 host mengandalkan versi lawas.

Daftar 10 versi PHP paling banyak ditemukan menunjukkan dominasi versi yang tidak lagi aman. Tujuh di antaranya, termasuk PHP 5.6.40, 7.4.33, 5.6.19, dan 7.2.22, telah berhenti dukungan resmi. Sisanya, meski masih dalam dukungan, tetap rentan dan harus segera diperbarui ke rilis terbaru seperti 8.2.35. Ancaman utama dari kerentanan ini adalah eksekusi kode jarak jauh tanpa otentikasi, yang memungkinkan peretas mengambil alih server secara penuh.

Menurut pakar keamanan siber, tantangan utama bukan hanya pembaruan teknis, melainkan kompleksitas migrasi dari sistem warisan yang tidak kompatibel dengan PHP versi baru. Banyak sistem lama memerlukan perombakan kode besar agar bisa berjalan di PHP 8. Selain itu, dominasi PHP 8.2.12 di banyak server mengindikasikan penggunaan paket instalasi seperti XAMPP, yang dirancang untuk pengembangan, bukan untuk lingkungan produksi publik.

Untuk mengurangi risiko, dianjurkan audit menyeluruh terhadap seluruh server, termasuk yang tidak terpapar langsung ke internet. Semua sistem harus diperbarui ke rilis aman terbaru seperti 8.2.35 atau versi lebih baru. Migrasi bertahap dari versi EOL perlu direncanakan, sementara sistem yang belum siap harus dilindungi dengan WAF, VPN, dan pembatasan akses. Pengaturan expose_php=off pada php.ini serta pemantauan log server untuk anomali seperti error memori berulang juga menjadi langkah krusial untuk mencegah penyebaran serangan.