NADIKABAR.COM — Perusahaan keamanan siber Vaksincom merilis laporan pemetaan yang menyatakan mayoritas server di Indonesia rentan terhadap celah keamanan PHP. Server milik pemerintah dan korporasi disebut menjadi sektor dengan kerentanan tinggi imbas penggunaan versi PHP lawas.

Berdasarkan hasil pemindaian komprehensif terhadap server di Indonesia yang terhubung ke internet secara langsung per 23 Oktober 2026, Vaksincom mencatat sebanyak 89.193 host PHP terdeteksi aktif.

Dari total 99.896 kecocokan versi, laporan menemukan bahwa 69,6 persen server di Indonesia masih menjalankan PHP versi End of Life (EOL) yang sudah tidak lagi mendapatkan pembaruan keamanan resmi dari pengembang.

Temuan ini menyebut sebanyak 30.124 kecocokan lainnya memakai versi yang masih didukung, akan tetapi belum menerapkan patch keamanan. Sementara itu, server yang telah mengaplikasikan patch perbaikan terbaru hanya 226 host dengan persentase 0,2 persen.

Lebih lanjut, temuan ini juga mengungkap sektor pemerintahan dan korporasi tercatat memiliki tingkat kerentanan tertinggi terhadap ancaman ini. Pasalnya, kedua sektor masih menggunakan PHP versi lama.

"Sektor pemerintahan dan korporasi memiliki tingkat kerentanan tertinggi terhadap ancaman ini karena tingginya penggunaan versi usang," kata Alfons Tanujaya, pakar keamanan siber Vaksincom dalam keterangannya, Jumat (23/10).

Pada sektor pemerintah dengan domain .go.id, sebanyak 1.621 dari 1.677 host tampak menggunakan PHP versi EOL, atau sebesar 96,7 persen.

Proporsi yang sama ditemukan di sektor perusahaan dengan nama domain .co.id. Laporan menemukan sebanyak 4.495 dari 4.650 host yang terbaca menggunakan PHP versi EOL.

Kedua sektor ini paling banyak menggunakan versi PHP 5.6.40 yang masa dukungannya berakhir sejak 2018.

Sementara itu, sektor pendidikan seperti perguruan tinggi (.ac.id), ditemukan sebanyak 439 dari 495 host yang terbaca menggunakan versi PHP EOL atau memiliki porsi sebesar 88,7 persen.

Sementara itu, sekolah (.sch.id) sebesar 51 (69,9 persen) dari 73 host terbaca yang menggunakan versi PHP EOL. Kedua sektor ini paling banyak menggunakan versi PHP 7.4.33.

Laporan ini turut mengungkap daftar 10 daftar PHP terbanyak di Indonesia. Berikut daftarnya:

1. PHP 8.2.122. PHP 5.6.403. PHP 7.4.334. PHP 5.6.195. PHP 8.2.286. PHP 8.2.47. PHP 7.2.228. PHP 5.4.169. PHP 7.4.2910. PHP 7.2.14

Berdasarkan daftar tersebut, tujuh dari sepuluh versi berstatus EOL seperti PHP 5.6.40, 7.4.33, 5.6.19, 7.2.22, 5.4.16, 7.4.29 dan 7.2.14. Sementara itu, tiga versi lainnya masih rentan dan perlu diperbarui ke versi 8.2.35.

Menurut laporan, kerentanan ini memungkinkan para penyerang siber mengambil alih server PHP secara penuh melalui eksekusi kode jarak jauh (remote code execution) tanpa memerlukan otentikasi atau login.

Vaksincom menilai tantangan utama bukan sekadar pembaruan versi, melainkan kompatibilitas aplikasi warisan (legacy system) yang memerlukan perombakan kode supaya dapat berjalan pada PHP 8.

Di samping itu, tingginya temuan PHP 8.2.12 juga mengindikasikan banyak server publik terpasang menggunakan paket instalasi lokal seperti XAMPP. Paket ini dirancang untuk tahap pengembangan, bukan untuk server produksi yang terbuka ke internet.

Vaksincom turut memberi rekomendasi mitigasi yang dapat dilakukan oleh administrator server. Langkah-langkahnya sebagai berikut: