JAKARTA, KOMPAS — Pemerintah menyatakan bakal mewaspadai isu kerentanan siber dalam PHP atau bahasa pemrograman yang terjadi sejak Kamis (22/10/2026). Pemerintah melalui Kementerian Komunikasi dan Digital terus berkoordinasi dengan Badan Sandi dan Siber Negara (BSSN) yang memiliki kewenangan bidang keamanan siber.
BSSN secara teknis akan memimpin penanganan keamanan siber, termasuk penanganan celah keamanan PHP. Bersama dengan BSSN, pemerintah memastikan agar ekosistem digital di Indonesia tetap aman dan terjaga.
Demikian keterangan tertulis dari Pelaksana Tugas Kepala Biro Humas Kementerian Komunikasi dan Digital (Kemkomdigi) Farida Dewi Maharani yang dikutip Jumat (23/10/2026) di Jakarta.
PHP merupakan bahasa pemrograman sumber terbuka yang digunakan untuk menjalankan situs laman dan aplikasi.
Dalam siaran pers, Kamis (22/10/2026), BSSN mengatakan, CVE-2026–109618 adalah temuan kerentanan pada mekanisme penanganan kehabisan kapasitas memori di PHP yang dapat menyebabkan memory corruption (isi suatu lokasi memori berubah atau rusak) ketika memproses permintaan HTTP.
Penyerang jarak jauh tanpa autentikasi dapat mengirimkan permintaan HTTP yang dirancang khusus untuk memicu kondisi tersebut. Situasi itu berpotensi mengeksploitasi proses PHP untuk melakukan perintah berbahaya jarak jauh (remote code execution/RCE) pada server yang terdampak. Keberhasilan eksploitasi bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP.
BSSN juga menyarankan tiga langkah mitigasi. Pertama, melakukan pembaruan PHP ke versi yang telah diperbaiki. Kedua, memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan oleh layanan laman, termasuk PHP-FPM, Apache mod_php, dan php-cgi, serta melakukan restart layanan terkait setelah pembaruan.
Ketiga, apabila pembaruan belum dapat dilakukan, membatasi akses jaringan ke sistem terdampak atau mengisolasi layanan yang terhubung ke internet hingga patch dapat diterapkan.
Menanggapi dinamika itu, CEO dan Co-founder di Cyble Beenu Arora mengatakan, kerentanan PHP2Shell ditemukan pada sistem inti PHP menyebabkan laman pemerintah ataupun perusahaan tetap berpotensi terdampak, meskipun kode aplikasinya sudah aman. PHP yang digunakan oleh berbagai platform, seperti WordPress, Drupal, Joomla, dan Moodle, serta banyak laman dikembangkan secara khusus oleh instansi pemerintah.
Risiko tersebut semakin besar pada sistem lama yang jarang diperbarui. Pembaruan keamanan telah dirilis untuk PHP versi 8.2 hingga 8.5, sedangkan sistem yang masih menggunakan PHP versi 5 atau 7 mungkin memerlukan migrasi, perubahan kode, serta pengujian ulang.
Bagi instansi pemerintah pusat ataupun daerah di Indonesia, proses pembaruan keamanan dapat melibatkan koordinasi dengan penyedia teknologi atau pengadaan layanan baru. Pelaku usaha perdagangan secara elektronik atau e-dagang dan UMKM yang menggunakan WooCommerce atau Magento melalui layanan shared hosting juga belum tentu dapat memperbarui PHP secara mandiri. Sebab, pengelolaan sistem bergantung pada penyedia hosting.
Jika serangan meluas, Beenu menjelaskan, laman pemerintah Indonesia, termasuk yang menggunakan domain go.id berpotensi menjadi sasaran. Akses ke laman yang berhasil diretas pun dapat diperjualbelikan di forum kejahatan siber atau dark web.
Pembelinya dapat berupa kelompok peretas yang ingin mengubah tampilan situs atau mencuri data, hingga pihak yang menjual kembali akses tersebut kepada kelompok pembuat perangkat lunak perusak (ransomware).
Penonaktifan sejumlah laman lembaga pemerintah di Eropa merupakan langkah pencegahan, bukan akibat laman-laman tersebut telah dilumpuhkan oleh peretas. Bagi Indonesia, risiko utamanya adalah gangguan terhadap layanan digital yang kemungkinan terjadi dalam beberapa minggu mendatang, khususnya pada instansi atau perusahaan yang belum memperbarui sistem PHP mereka.
Ada beberapa macam ancaman antara lain perubahan tampilan laman untuk menyebarkan pesan tertentu dan pengalihan pengunjung ke laman berbahaya. Ancaman lainnya berupa pencurian informasi pembayaran melalui laman perdagangan elektronik dan pengambilan data dari sistem yang telah diretas sebelum pembaruan keamanan dilakukan.
Kelemahan yang mendasari PHP2Shell, Beenu mengatakan, sebenarnya telah ada selama puluhan tahun. Namun, untuk memanfaatkannya, peretas harus melalui serangkaian langkah teknis yang sangat rumit. Kemunculan model akal imitasi (AI) yang semakin canggih membuat proses tersebut lebih mudah dilakukan.
“Para peneliti menggunakan model AI dari Gemini dan OpenAI untuk membantu menemukan kerentanan tersebut pada akhir Agustus 2026, sebelum mengungkapkannya kepada publik pada 21 Oktober 2026,” ucapnya.
Perkembangan seperti itu, dia menilai AI tidak hanya mempercepat penemuan celah keamanan, tetapi juga berpotensi mempermudah pelaku kejahatan siber memanfaatkannya untuk melancarkan serangan.
Secara terpisah, praktisi keamanan siber Alfons Tanujaya mengatakan, isu kerentanan siber PHP bagi industri adalah mereka harus melakukan pembaruan keamanan (patching).
Secara teori, patching itu mudah: jika menggunakan PHP versi lama, tinggal memasang versi baru, maka celah keamanan langsung tertutup. Namun, praktik di lapangannya sangat sulit. Sebab, proses pembaruan berpeluang gagal.
Sebagai gambaran, ada sebuah maskapai penerbangan yang sistem pemesanan tiketnya dibuat menggunakan PHP 5, lalu diperbarui ke PHP 8. Jika tidak diperbarui, sistem rentan diretas. Namun, apabila segera diperbarui ke PHP 8, sistem pemesanannya malah mogok/tidak berjalan.
“Untuk memperbaiki atau merombak sistem agar cocok dengan PHP baru, pengembang harus membangun dan menguji ulang aplikasi. Proses ini memakan waktu lama, bisa berhari-hari, berminggu-minggu, hingga berbulan-bulan,” kata Alfons.
Bagi konsumen, dampaknya adalah gangguan pada layanan jika sistem terpaksa diturunkan. Bagi pemerintah, masalah ini sangat krusial.
Apalagi, di Indonesia, sejumlah laman lembaga pemerintahan dan institusi pendidikan yang belum mengalami masalah kerentanan PHP saja sudah berhasil disusupi oleh iklan judi daring. Kondisi ini menunjukkan bahwa pengelolaan keamanan laman masih lemah.
“Meskipun lembaga seperti BSSN sudah memberikan imbauan/CSIRT, perlu ada tindakan terkoordinasi dan lebih tegas. BSSN perlu melakukan pemindaian secara menyeluruh ke berbagai laman lembaga pemerintah,” ucap Alfons.
Komentar (0)