71 Situs Pemerintah Indonesia Disebut Rentan PHP2SHELL, Ini Daftarnya

Situs atau domain milik pemerintah menjadi salah satu yang paling rawan di tengah ancaman keamanan dalam bahasa pemrograman PHP atau dinamakan PHP2Shell . Lembaga Riset Keamanan Siber Indonesia (CISSReC) menemukan setidaknya ada 71 situs pemerintah Indonesia dengan bahasa pemrograman PHP dalam kondisi rentan.

“Sebagian besar situs kementerian, pemerintah daerah, pengadilan negeri, kejaksaan negeri, dan komisi pemilihan dibangun dengan WordPress, Joomla, atau framework PHP seperti Codeigniter dan Laravel,” tulis laporan CISSReC yang diterima Katadata.co.id, Jumat (23/10).

Katadata.co.id mengonfirmasi data itu kepada Komdigi dan Badan Siber dan Sandi Negara (BSSN), namun belum ada tanggapan.

Situs pemerintahan dinilai lebih rentan, karena umumnya dikelola oleh staf IT dalam jumlah terbatas, dan penyedia hosting sering kali tidak memberikan kendali penuh atas versi PHP yang digunakan.

Pada 22 Oktober, CISSReC melakukan pemeriksaan terhadap total 597 situs pemerintah dengan akhiran “.go.id ”. Sebanyak 529 domain merespons, sedangkan 68 sisanya tidak merespons. 

Di antara situs yang merespons, 11 di antaranya dalam kondisi rentan karena memiliki versi PHP yang belum diperbaiki. Sebanyak 41 situs berada dalam kondisi habis dukungan PHP, yang berarti PHP-nya berada dalam rentang versi 5.4 sampai versi 8.1. Sedangkan 19 situs sisanya memiliki PHP yang tidak terbaca. Berikut daftar 71 situs yang ditemukan CISSReC dalam kondisi rentan.

Menurut CISSReC, yang paling mencemaskan justru 19 situs yang menyembunyikan versi PHP-nya. Penyembunyian memang dilakukan dengan alasan praktik keamanan instansi. Namun dalam dalam konteks serangan keamanan PHP2Shell ini, penyembunyian membuat pemilik situs tidak dapat membuktikan bahwa dirinya sudah aman tanpa memeriksa server secara langsung.

“Domain ke-19 itu mencakup beberapa situs kementerian dengan lalu lintas tinggi,” tulis laporan.

Beberapa situs yang dimaksud antara lain situs Kementerian Energi dan Sumber Daya Mineral (esdm.go.id), Kementerian Perindustrian (kemenperin.go.id), Kementerian Kesehatan (kemkes.go.id), hingga Sekretariat Negara (setneg.go.id). 

Langkah Komdigi dan BSSN

Dalam situs resminya, Kementerian Komunikasi dan Digital (Komdigi) mengimbau pengelola sistem berbasis PHP untuk segera memperbarui perangkat lunak guna mengatasi ancaman PHP2Shell . 

Sementara itu, BSSN menyelenggarakan Apel Kesiapsiagaan Tim Tanggap Insiden Siber (TTIS) pada Kamis (22/10). Apel ini bertujuan memberikan pengarahan kepada Anggota Gov-CSIRT untuk memperkuat sistem informasi yang dikelola dari kerentanan global.

"Hal ini merupakan tindaklanjut BSSN terhadap kerentanan global pada PHP2Shell yang dapat menyebabkan penyerang jarak jauh dapat melakukan Remote Code Execution (RCE) pada server yang terdampak," kata BSSN melalui akun Instagram-nya, Jumat (23/10).

Keberhasilan eksploitasi bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP. Apel ini diikuti oleh 289 peserta yang berasal dari TTIS sektor administrasi pemerintahan, sektor kesehatan, dan sektor ekonomi.

Tujuan kegiatan itu yakni memberikan peringatan dini dan meningkatkan kewaspadaan terhadap potensi eksploitasi kerentanan pada PHP, sekaligus mendorong setiap instansi untuk segera melakukan inventarisasi dan pemeriksaan terhadap aset yang menggunakan PHP.

Dalam kegiatan ini, tim teknis BSSN Gov-CSIRT dan Nat-CSIRT (TTIS Nasional) turut menyampaikan pemaparan mengenai tingkat urgensi kerentanan, indikasi eksploitasi, versi PHP yang terdampak, serta langkah-langkah mitigasi awal yang perlu dilakukan.

Tim Tanggap Insiden Siber juga diminta untuk segera melakukan inventarisasi, verifikasi dan pemeriksaan versi PHP pada seluruh aset yang dikelola, termasuk website berbasis CMS atau framework PHP.

Tim juga diminta melakukan pembaruan ke versi PHP yang telah diperbaiki serta menerapkan pembatasan akses sementara pada layanan kritis apabila diperlukan.

Lalu, melakukan pemeriksaan log dan penilaian kompromi apabila ditemukan indikasi percobaan atau keberhasilan eksploitasi, serta berkoordinasi dengan TTIS Nasional dan atau Gov-CSIRT melalui kanal komunikasi yang tersedia.

Tim pengembang PHP yaitu The PHP Foundation merilis pembaruan keamanan pada 21 Oktober untuk mengatasi celah keamanan ini. Berikut versi PHP terdampak dan versi yang telah memuat perbaikan keamanan:

• PHP 8.2: Versi 8.2.0–8.2.34 terdampak. Pembaruan tersedia pada versi 8.2.35 
• PHP 8.3: Versi 8.3.0–8.3.35 terdampak. Pembaruan tersedia pada versi 8.3.36
• PHP 8.4: Versi 8.4.0–8.4.26 terdampak. Pembaruan tersedia pada versi 8.4.27
• PHP 8.5: Versi 8.5.0–8.5.11 terdampak. Pembaruan tersedia pada versi 8.5.12

Sebelumnya, Badan Siber dan Sandi Negara (BSSN) juga telah memberi peringatan soal dua kerentanan keamanan pada bahasa pemrograman skrip open-source PHP yang dikenal dengan PHP2Shell . Ancaman kedua ini memiliki kode CVE-2026-109618 dan CVE-2026-109619, yang diumumkan oleh The PHP Foundation pada Selasa (20/10).

Padahal, diperkirakan 70% total situs yang ada di dunia atau sekitar 760 juta situs menggunakan bahasa pemrograman PHP. Jika situs terdampak ancaman ini, peretas bisa mengambil alih dan mengeksploitasi server, mencuri data aplikasi, mengubah konten situs web, dan bahkan memasang backdoor .

Perbedaan kedua ancaman, ancaman CVE-2026-109618 adalah ancaman pada mekanisme penanganan out-of-memory (OOM) di PHP. Kondisi ini dapat menyebabkan kerusakan memori ketika PHP memproses permintaan HTTP. 

Sedangkan ancaman CVE-2026-109619 adalah ancaman kerentanan use-after-free . Kondisi ini terjadi ketika PHP mengakses memori yang telah dibebaskan, namun masih dirujuk oleh proses internal status.

Keduanya berpotensi menyebabkan kerusakan memori dan berpotensi dimanfaatkan penyerang jarak jauh dengan melakukan eksekusi kode jarak jauh (RCE) tanpa autentikasi.