PT Vaksincom mengungkapkan hampir 96,7% server pemerintah dan perusahaan di Indonesia yang terdeteksi menggunakan PHP masih menjalankan versi End of Life (EOL). Versi ini sudah tidak lagi mendapatkan pembaruan keamanan resmi dari pengembang PHP, sehingga rentan diserang oleh peretas (hacker).
Temuan ini berdasarkan pemindaian internet terhadap server di Indonesia per 23 Oktober. Vaksincom memetakan paparan celah keamanan kritis PHP2Shell yang memungkinkan hacker mengambil alih server PHP secara penuh melalui eksekusi kode jarak jauh atau remote code execution, tanpa memerlukan autentikasi atau login sebelumnya.
Berdasarkan laporan Vaksincom, dari 99.896 kecocokan versi PHP yang terdeteksi, sebanyak 69.546 atau 69,6% menggunakan versi EOL. Sementara itu, server yang terdeteksi telah menerapkan patch perbaikan baru mencapai 226 kecocokan atau 0,2%.
Vaksincom mencatat tingkat penggunaan versi PHP EOL yang tinggi pada sektor pemerintahan dan perusahaan swasta.
Pada sektor pemerintahan dengan domain .go.id, terdapat 2.072 host yang terdeteksi. Dari jumlah tersebut, sebanyak 1.677 versi PHP berhasil terbaca. Sebanyak 1.621 kecocokan versi atau 96,7% di antaranya menggunakan PHP EOL.
Sementara itu, pada sektor perusahaan dengan domain .co.id, Vaksincom mendeteksi 5.246 host. Sebanyak 4.650 versi PHP berhasil terbaca, dengan 4.495 kecocokan versi atau 96,7% menggunakan PHP EOL.
Katadata.co.id mengonfirmasi temuan ini kepada Badan Siber dan Sandi Negara (BSSN) serta Kementerian Komunikasi dan Digital (Komdigi), namun belum ada tanggapan.
Versi PHP yang paling banyak ditemukan pada kedua sektor itu yakni PHP 5.6.40. Masa dukungan keamanan resmi untuk versi ini telah dihentikan sejak akhir 2018.
Vaksincom juga menemukan tingginya penggunaan versi PHP EOL pada sektor pendidikan. Pada perguruan tinggi dengan domain .ac.id, sebanyak 439 dari 495 kecocokan versi yang terbaca atau 88,7% merupakan versi EOL.
Sektor sekolah dengan domain .sch.id, sebanyak 51 dari 73 kecocokan versi yang terbaca atau 69,9% menggunakan versi EOL.
Vaksincom menyebut tantangan utama dalam mengatasi kerentanan PHP2Shell bukan hanya memperbarui versi PHP, melainkan juga masalah kompatibilitas aplikasi lama atau legacy system.
Aplikasi tersebut memerlukan perombakan kode agar dapat berjalan di lingkungan PHP 8 yang lebih modern.
Selain itu, tingginya temuan PHP 8.2.12 mengindikasikan banyak server publik yang diinstal menggunakan paket instalasi lokal instan seperti XAMPP. Paket tersebut dirancang untuk tahap pengembangan atau development, bukan untuk server produksi yang terbuka langsung ke internet.
Untuk mengurangi risiko, Vaksincom merekomendasikan administrator teknologi informasi melakukan audit terhadap seluruh versi PHP pada server organisasi, termasuk server intranet yang tidak terhubung langsung ke internet.
Pengelola server yang menggunakan cabang PHP aktif versi 8.2 hingga 8.5 disarankan meningkatkan versi ke rilis aman terbaru, yakni PHP 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.
Sementara itu, pengelola server yang menggunakan PHP versi 5.x hingga 8.1 disarankan merencanakan migrasi secara bertahap. Sebelum migrasi selesai, pengelola perlu memastikan distribusi Linux menyediakan backported patch, membatasi paparan server publik menggunakan Web Application Firewall (WAF) atau VPN, serta menonaktifkan layanan yang tidak kritis.
Vaksincom juga merekomendasikan pengelola menyembunyikan informasi versi PHP melalui konfigurasi "expose_php = Off" pada berkas "php.ini". Langkah ini bertujuan meminimalkan risiko pemindaian massal otomatis oleh botnet.
Selain itu, administrator disarankan memantau log server untuk mendeteksi lonjakan kesalahan kehabisan memori atau out of memory yang berulang, serta menerapkan segmentasi dan isolasi jaringan agar kompromi pada server web tidak menyebar ke aset penting lainnya.
Vaksincom menyatakan data tersebut berasal dari pemindaian server publik di Indonesia per 23 Oktober. Angka yang disajikan merupakan jumlah kecocokan atau matches layanan web aktif.
Perusahaan juga mencatat jumlah server yang terdeteksi menerapkan patch belum tentu menggambarkan seluruh server yang telah terlindungi. Sejumlah distribusi Linux dapat menerapkan perbaikan keamanan tanpa mengubah nomor versi rilis melalui mekanisme backporting.
Selain itu, server yang berada di balik perlindungan content delivery network (CDN) atau reverse proxy, seperti Cloudflare, tidak terdata karena informasi asli server terlindungi.
Untuk menjaga stabilitas dan etika keamanan siber, Vaksincom tidak memublikasikan daftar nama domain atau instansi spesifik yang rentan. Informasi tersebut dikoordinasikan secara tertutup kepada BSSN atau pemilik infrastruktur terkait.
Dapatkan pengalaman membaca lebih nyaman dan nikmati fitur menarik lainnya lewat aplikasi mobile Katadata.
