Jakarta | Sebanyak 69,6% kecocokan versi layanan PHP yang terdeteksi dalam pemindaian di Indonesia menggunakan versi yang sudah mencapai akhir masa dukungan atau end of life (EOL). Artinya, versi tersebut tidak lagi menerima pembaruan keamanan resmi dari pengembang PHP. Temuan ini menunjukkan bahwa banyak layanan yang terhubung ke internet masih bergantung pada perangkat lunak lama, meskipun dukungan resminya telah berakhir. Kondisi itu patut diperhatikan karena pembaruan keamanan berperan penting dalam memperbaiki kerentanan yang ditemukan setelah suatu versi dirilis.
PHP merupakan bahasa pemrograman yang digunakan untuk membangun dan menjalankan beragam layanan digital. Penggunaannya mencakup toko daring, portal berita, situs perusahaan, hingga layanan pemerintahan. Karena itu, versi PHP pada server dapat menjadi salah satu unsur penting dalam menjaga keamanan dan keberlangsungan layanan tersebut. Namun, angka pemindaian ini merujuk pada kecocokan versi layanan yang terdeteksi, bukan semata-mata jumlah organisasi atau pemilik situs. Satu host dapat menghasilkan lebih dari satu kecocokan versi, sehingga kedua angka tersebut perlu dibedakan saat membaca hasilnya.
Pengamat keamanan siber Vaksincom, Alfons Tanujaya, melakukan pemindaian pada 23 Oktober 2026. Hasilnya mencatat 89.193 host PHP aktif dan 99.896 kecocokan versi layanan. Dari seluruh kecocokan versi tersebut, sebanyak 69.546 masuk kategori EOL, setara dengan 69,6%. Dengan kata lain, hampir tujuh dari setiap sepuluh kecocokan yang teridentifikasi menggunakan versi tanpa dukungan resmi. Data ini menggambarkan kondisi yang ditemukan pada saat pemindaian, bukan inventaris lengkap seluruh server di Indonesia. Hasil pemindaian juga tidak dengan sendirinya membuktikan bahwa setiap layanan terdampak telah diretas atau memiliki kerentanan tertentu. Meski demikian, proporsi versi EOL yang tinggi memperlihatkan adanya pekerjaan pemeliharaan yang perlu mendapat perhatian dari pengelola server. Memastikan versi yang digunakan masih didukung merupakan langkah dasar agar pembaruan keamanan resmi tetap tersedia ketika diperlukan.Temuan mengenai server PHP di Indonesia menunjukkan kontras yang jelas banyaknya layanan yang masih menggunakan versi berstatus akhir masa dukungan atau EOL dan sedikitnya layanan yang teridentifikasi memakai versi yang masih menerima perbaikan keamanan. Dari pencocokan versi yang dilakukan, hanya 226 kecocokan—sekitar 0,2 persen—yang mengarah pada versi dengan perbaikan keamanan. Angka ini menggambarkan bahwa kelompok yang terdeteksi menggunakan versi yang masih mendapat dukungan keamanan resmi merupakan bagian kecil dari keseluruhan temuan. Dengan demikian, gambaran utama bukan sekadar variasi versi PHP, melainkan ketimpangan penggunaan versi lama dan keberadaan versi yang masih memperoleh pemeliharaan keamanan.
Status EOL memiliki arti teknis yang terbatas dan spesifik: versi perangkat lunak tersebut tidak lagi menerima pembaruan keamanan resmi dari pengelolanya. Karena itu, jika sebuah server menjalankan versi PHP yang telah mencapai EOL, kerentanan baru yang berdampak pada versi itu tidak dapat ditangani melalui patch resmi untuk versi tersebut. Kondisi ini dapat memperpanjang paparan terhadap risiko apabila kelemahan yang relevan ditemukan, meskipun dampaknya tetap bergantung pada faktor lain, seperti perangkat lunak yang digunakan, konfigurasi, dan langkah mitigasi yang diterapkan. Status EOL sendiri tidak menjelaskan apakah suatu server telah mengalami insiden atau bagaimana pengelolaannya secara menyeluruh.
Jumlah 226 kecocokan atau sekitar 0,2 persen perlu dibaca sesuai cakupan pengamatan: angka itu merujuk pada layanan yang teridentifikasi menggunakan versi dengan perbaikan keamanan, bukan ukuran langsung atas seluruh sistem PHP yang ada di Indonesia. Demikian pula, temuan banyaknya versi EOL tidak membuktikan bahwa seluruh server terkait telah diretas, memiliki kerentanan yang sama, atau menggunakan konfigurasi seragam. Data versi memberi petunjuk mengenai dukungan perangkat lunak, tetapi tidak dengan sendirinya menunjukkan kondisi setiap host. Perbedaan lingkungan, pembaruan, dan perlindungan tambahan dapat memengaruhi risiko aktual. Meski demikian, rendahnya porsi versi yang teridentifikasi mendapat perbaikan keamanan menandai adanya kesenjangan pemeliharaan yang layak diperhatikan. Pengelola dapat menjadikan status dukungan sebagai salah satu bahan evaluasi, sambil menilai kebutuhan pembaruan dan konteks operasional tiap server secara terpisah.
Pemerintah dan perusahaan swasta menjadi kelompok yang paling perlu mencermati kondisi keamanan server PHP. Alfons menyebut hampir 97% server pada sektor pemerintah dan perusahaan swasta masih menggunakan versi PHP yang sudah mencapai akhir masa dukungan atau end of life (EOL). Angka ini menunjukkan bahwa penggunaan perangkat lunak usang bukan persoalan terbatas pada sejumlah kecil sistem, melainkan tersebar luas di dua sektor yang mengelola berbagai layanan dan data penting. Ketika versi PHP tidak lagi didukung, pembaruan keamanan resmi tidak tersedia untuk menutup celah yang ditemukan setelah masa dukungan berakhir.
Di instalasi yang teridentifikasi pada kelompok tersebut, PHP 5.6.40 merupakan versi yang paling dominan. Alfons menerangkan bahwa dukungan untuk versi ini telah berakhir sejak akhir 2018. Dengan demikian, server yang masih menjalankannya telah lama berada di luar jalur pemeliharaan keamanan resmi. Versi tersebut mungkin tetap dapat menjalankan aplikasi yang ada, tetapi keberlangsungan fungsi tidak sama dengan perlindungan yang memadai. Tanpa pembaruan dari pengembang, kerentanan baru berpotensi tidak memperoleh perbaikan langsung, sementara pengelola sistem harus menghadapi risiko dengan sumber daya dan langkah mitigasi mereka sendiri.
Tingginya penggunaan versi EOL di pemerintahan dan korporasi membuat pemetaan serta pembaruan sistem menjadi kebutuhan yang mendesak. Migrasi dari PHP 5.6.40 tidak selalu dapat dilakukan seketika, terutama apabila aplikasi lama bergantung pada fitur atau komponen yang tidak kompatibel dengan versi lebih baru. Namun, kendala tersebut perlu ditangani melalui inventarisasi server, pengujian aplikasi, dan rencana peningkatan yang terukur, bukan dengan membiarkan sistem usang tanpa pengawasan. Organisasi juga perlu menilai paparan layanan yang terhubung ke internet dan menetapkan perlindungan sementara selama proses migrasi. Keterangan Alfons mengenai angka hampir 97% dan dominasi PHP 5.6.40 menegaskan skala persoalan, sekaligus pentingnya tindakan terencana untuk mengurangi risiko pada layanan publik maupun bisnis.Temuan mengenai dua celah kritis yang dikenal sebagai PHP2Shell menambah perhatian terhadap keamanan server yang masih menjalankan versi PHP tanpa dukungan. Menurut informasi yang tersedia, celah tersebut berpotensi memungkinkan peretas mengambil alih server dari jarak jauh tanpa terlebih dahulu melakukan login. Artinya, penyerang tidak harus memiliki akses akun yang sah untuk mencoba mengeksploitasi sistem yang rentan. Risiko ini menjadi penting karena server PHP dapat menjadi bagian dari layanan publik maupun sistem yang menyimpan informasi operasional dan data pengguna.
Apabila celah berhasil dimanfaatkan, penyerang berpeluang menguasai server, mengakses basis data yang terhubung, serta mencuri informasi sensitif. Dampaknya dapat meluas dari gangguan pada layanan hingga terbukanya data yang semestinya hanya dapat diakses oleh pihak berwenang. Namun, potensi tersebut perlu dibedakan dari kejadian yang telah terkonfirmasi: informasi yang menjadi dasar pembahasan ini menjelaskan kemungkinan eksploitasi, bukan menyatakan bahwa serangan PHP2Shell sudah terjadi terhadap server tertentu. Karena itu, temuan ini sebaiknya dipahami sebagai paparan risiko yang memerlukan perhatian, bukan bukti insiden yang sedang berlangsung.
Konteksnya semakin mendesak ketika banyak server di Indonesia dilaporkan masih menggunakan PHP versi end-of-life (EOL), yaitu versi yang telah berakhir masa dukungannya. Versi yang tidak lagi didukung tidak memperoleh pembaruan keamanan rutin dari pengembang, sehingga kerentanan yang diketahui dapat membuat pengelola menghadapi risiko lebih besar.
Baca juga: Dukungan Kementerian Perhubungan dalam Penanganan Jenazah KMP Virgo | Wujudkan Dukungan Pembangunan di Desa, Babinsa Hadiri Musrenbangdes
