ranjana.id – Jakarta | Dunia siber heboh dengan celah PHP2Shell yang dapat dibobol tanpa login.
Saat ini (23/10/2026), baru 226 dari 99.896 kecocokan versi PHP di Indonesia yang tercatat sudah ditambal terhadap celah PHP2Shell, atau hanya 0,2 persen.
Di Indonesia, sektor pemerintahan dan korporasi, mencatat kerentanan sangat tinggi.
Dimana, disektor pemerintahan dan korporasi, versi PHP yang dominan digunakan adalah PHP 5.6.40, yang dukungannya dihentikan sejak akhir 2018.
Secara nasional, PHP 8.2.12 menempati posisi puncak dengan 8.988 kecocokan, disusul PHP 5.6.40 (6.598) dan PHP 7.4.33 (4.965). Berikutnya PHP 5.6.19 (4.538), PHP 8.2.28 (4.460), dan PHP 8.2.4 (3.731). Lalu PHP 7.2.22 (3.336), PHP 5.4.16 (3.009), dan PHP 7.4.29 (2.601), lalu PHP 7.2.14 (2.290). Seluruh versi 8.2 itu rentan dan perlu naik ke 8.2.35, sedangkan sisanya EOL.
Dikutip dari Sindo News, pengamat keamanan siber Alfons Tanujaya dari Vaksincom menilai tantangan utamanya bukan sekadar memperbarui versi, melainkan kompatibilitas legacy system yang menuntut perombakan kode agar berjalan di PHP 8. Banyaknya PHP 8.2.12 mengindikasikan peladen publik dipasang lewat paket instan seperti XAMPP, yang dirancang untuk pengembangan, bukan produksi.
“Di sisi lain, angka itu belum tentu mencerminkan kondisi sebenarnya. Sejumlah distribusi Linux menambal tanpa mengubah nomor versi (backporting), sehingga peladen yang terlindungi bisa lebih banyak. Peladen di balik perlindungan seperti Cloudflare tak terdata, dan daftar domain rentan hanya dikoordinasikan secara tertutup dengan Badan Siber dan Sandi Negara (BSSN)”, katanya, seperti dikutip dari Sindo News.
Alfons Tanujaya menyarankan audit versi PHP di semua peladen, termasuk intranet, lalu pembaruan ke 8.2.35, 8.3.36, 8.4.27, atau 8.5.12. Sistem EOL perlu migrasi bertahap, dengan pembatasan lewat WAF atau VPN selama masa transisi. Selain itu, setel expose_php = Off agar sulit dipindai botnet.
“Terlepas dari langkah mitigasi itu, ada satu masalah yang belum teratasi: peladen EOL tak bisa lagi ditambal secara resmi, sementara sistem warisan di atasnya belum siap pindah ke PHP 8”, ujarnya. (Redaksi-001)
