Vaksincom: 69,6 Persen Server Indonesia Pakai PHP Lawas yang Rentan

BANTEN — Sebanyak 69,6 persen server di Indonesia masih menjalankan PHP versi End of Life (EOL) yang tidak lagi mendapat pembaruan keamanan resmi, menurut laporan pemetaan Vaksincom per 23 Oktober 2026. Dari 89.193 host PHP yang terdeteksi aktif, hanya 226 host atau 0,2 persen yang sudah menerapkan patch perbaikan terbaru. Temuan ini menempatkan situs pemerintah dan korporasi sebagai kelompok paling terekspos.

Pemindaian komprehensif terhadap server di Indonesia yang terhubung langsung ke internet menemukan 99.896 kecocokan versi PHP. Dari jumlah itu, 30.124 kecocokan memakai versi yang masih didukung tetapi belum dipatch, sementara mayoritas sisanya berjalan di cabang yang sudah ditutup pengembangnya.

Vaksincom menyoroti bahwa kerentanan ini memungkinkan penyerang mengambil alih server secara penuh lewat eksekusi kode jarak jauh (remote code execution) tanpa perlu otentikasi atau login.

Sektor Pemerintah Paling Terpapar

Domain .go.id mencatat 1.621 dari 1.677 host yang terbaca menggunakan PHP versi EOL, setara 96,7 persen. Proporsi serupa muncul di sektor perusahaan dengan domain .co.id: 4.495 dari 4.650 host masuk kategori EOL.

Kedua sektor itu paling banyak bertahan di PHP 5.6.40, versi yang masa dukungannya berakhir sejak 2018. "Sektor pemerintahan dan korporasi memiliki tingkat kerentanan tertinggi terhadap ancaman ini karena tingginya penggunaan versi usang," kata Alfons Tanujaya, pakar keamanan siber Vaksincom, dalam keterangannya, Jumat (23/10).

Di lingkungan pendidikan, perguruan tinggi (.ac.id) mencatat 439 dari 495 host ber-PHP EOL atau 88,7 persen. Sekolah (.sch.id) berada di angka 51 dari 73 host, atau 69,9 persen. Kedua segmen ini dominan memakai PHP 7.4.33.

Tujuh dari Sepuluh Versi Terpopuler Sudah Mati

Daftar versi PHP terbanyak di Indonesia didominasi rilis lawas. Urutannya: PHP 8.2.12, 5.6.40, 7.4.33, 5.6.19, 8.2.28, 8.2.4, 7.2.22, 5.4.16, 7.4.29, dan 7.2.14.

Tujuh dari sepuluh versi tersebut berstatus EOL. Tiga sisanya masih rentan dan perlu diperbarui ke 8.2.35. Banyaknya temuan PHP 8.2.12 juga mengindikasikan server publik dipasang memakai paket instalasi lokal seperti XAMPP, yang sejatinya dirancang untuk tahap pengembangan, bukan server produksi terbuka ke internet.

Bukan Sekadar Soal Update Versi

Vaksincom menilai hambatan utama bukan pembaruan versi semata, melainkan kompatibilitas aplikasi warisan (legacy system). Perombakan kode dibutuhkan agar sistem lama bisa berjalan di PHP 8.

Bagi pengelola layanan digital dan tim IT perusahaan, temuan ini relevan langsung: situs dengan login pengguna, formulir pendaftaran, atau transaksi online yang berjalan di atas PHP EOL membuka pintu bagi pengambilalihan server tanpa kredensial.

Langkah Mitigasi yang Direkomendasikan

1. Audit menyeluruh versi PHP di seluruh server organisasi, termasuk yang tidak terekspos langsung ke internet.
2. Perbarui cabang aktif ke rilis aman terbaru: 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
3. Susun migrasi bertahap untuk sistem EOL (PHP 5.x hingga 8.1). Selama migrasi berjalan, pastikan distribusi Linux menyediakan backported patch, batasi eksposur publik lewat WAF atau VPN, dan nonaktifkan layanan tidak kritikal.
4. Atur expose_php=off pada php.ini untuk menekan risiko pemindaian massal otomatis oleh botnet.
5. Tinjau log server terhadap lonjakan error kehabisan memori (out of memory) berulang, serta terapkan isolasi jaringan ketat agar kompromi pada server web tidak menyebar ke aset penting lain.

Bagi pelaku usaha digital dan investor yang menilai risiko infrastruktur mitra atau portofolio, laporan ini memberi sinyal jelas: kepatuhan keamanan bukan lagi urusan tim IT semata, tetapi bagian dari uji tuntas operasional.