Mayoritas Server Indonesia Masih Gunakan PHP Lawas, Pemerintah dan Korporasi Paling Rentan

Webekspres – Penggunaan PHP versi lama masih menjadi persoalan serius bagi keamanan server di Indonesia. Laporan terbaru perusahaan keamanan siber Vaksincom menunjukkan sebagian besar server yang terhubung langsung ke internet masih menjalankan versi PHP yang masa dukungannya telah berakhir atau End of Life (EOL).

Pemetaan yang dilakukan hingga 23 Oktober 2026 menemukan sebanyak 89.193 host PHP aktif di Indonesia. Dari 99.896 kecocokan versi yang berhasil diidentifikasi, sekitar 69,6 persen diketahui masih memakai PHP EOL yang tidak lagi memperoleh pembaruan keamanan resmi dari pengembang.

Kondisi tersebut membuat server berpotensi lebih mudah menjadi sasaran serangan apabila terdapat celah keamanan yang belum diperbaiki.

Di sisi lain, sebanyak 30.124 kecocokan versi diketahui masih berada pada cabang PHP yang didukung, tetapi belum mendapatkan patch keamanan terbaru. Server yang sudah menggunakan versi dengan pembaruan keamanan terkini tercatat hanya 226 host atau sekitar 0,2 persen.

Server Pemerintah dan Perusahaan Paling Rentan

Data Vaksincom menunjukkan server milik instansi pemerintah dan perusahaan menjadi dua kelompok dengan tingkat penggunaan PHP usang paling tinggi.

Pada domain pemerintahan dengan ekstensi .go.id, sebanyak 1.621 dari total 1.677 host yang teridentifikasi masih menjalankan PHP berstatus EOL. Angka tersebut setara dengan sekitar 96,7 persen.

Kondisi hampir serupa terlihat pada domain perusahaan .co.id. Sebanyak 4.495 dari 4.650 host yang terdeteksi juga diketahui memakai PHP yang masa dukungannya telah berakhir.

Pakar keamanan siber Vaksincom, Alfons Tanujaya, menjelaskan tingginya penggunaan versi lama membuat sektor pemerintahan dan korporasi berada pada posisi yang lebih rentan terhadap ancaman keamanan.

Salah satu versi yang banyak ditemukan pada kedua sektor tersebut adalah PHP 5.6.40, meskipun dukungan resmi untuk versi tersebut telah dihentikan sejak 2018.

Sektor Pendidikan Juga Masih Mengandalkan PHP EOL

Masalah penggunaan PHP lama juga ditemukan pada sektor pendidikan.

Untuk domain perguruan tinggi .ac.id, sebanyak 439 dari 495 host yang teridentifikasi menjalankan PHP berstatus EOL. Persentasenya mencapai sekitar 88,7 persen.

Sementara pada domain sekolah .sch.id, terdapat 51 dari 73 host atau sekitar 69,9 persen yang masih menggunakan PHP lama.

Versi yang cukup banyak ditemukan pada server di sektor pendidikan adalah PHP 7.4.33.

Daftar Versi PHP yang Banyak Digunakan di Indonesia

Berdasarkan hasil pemetaan Vaksincom, berikut sepuluh versi PHP yang paling banyak ditemukan pada server di Indonesia:

1. PHP 8.2.12
2. PHP 5.6.40
3. PHP 7.4.33
4. PHP 5.6.19
5. PHP 8.2.28
6. PHP 8.2.4
7. PHP 7.2.22
8. PHP 5.4.16
9. PHP 7.4.29
10. PHP 7.2.14

Dari sepuluh versi tersebut, tujuh di antaranya telah berstatus EOL, yakni PHP 5.6.40, 7.4.33, 5.6.19, 7.2.22, 5.4.16, 7.4.29, dan 7.2.14.

Sementara tiga versi lainnya masih membutuhkan pembaruan agar memperoleh perlindungan keamanan yang lebih baik. Dalam laporan tersebut, pengguna PHP 8.2 direkomendasikan melakukan pembaruan menuju rilis aman terbaru pada cabang yang digunakan.

Celah Keamanan Bisa Berujung Pengambilalihan Server

Penggunaan PHP yang tidak diperbarui bukan hanya menimbulkan risiko gangguan pada website.

Menurut laporan Vaksincom, kerentanan tertentu berpotensi dimanfaatkan penyerang untuk menjalankan kode dari jarak jauh atau remote code execution (RCE). Dalam skenario tertentu, serangan tersebut dapat memungkinkan pihak tidak berwenang mengambil alih server tanpa harus melalui proses autentikasi terlebih dahulu.

Situasi ini menjadi semakin berisiko apabila server menyimpan data penting atau terhubung dengan sistem internal organisasi lainnya.

Namun, memperbarui PHP tidak selalu dapat dilakukan secara langsung. Banyak organisasi masih memiliki aplikasi lama atau legacy system yang dikembangkan menggunakan PHP versi terdahulu.

Migrasi menuju PHP generasi terbaru dapat membutuhkan penyesuaian hingga perombakan sebagian kode agar aplikasi tetap berjalan dengan baik.

Penggunaan XAMPP pada Server Publik Jadi Sorotan

Vaksincom juga menyoroti banyaknya server yang terdeteksi menggunakan PHP 8.2.12.

Temuan tersebut dinilai dapat menjadi indikasi masih adanya server publik yang menggunakan paket instalasi lokal seperti XAMPP.

XAMPP pada dasarnya banyak digunakan untuk kebutuhan pengembangan dan pengujian aplikasi secara lokal. Penggunaan konfigurasi pengembangan untuk server produksi yang dapat diakses melalui internet berpotensi menambah risiko apabila tidak disertai pengamanan yang memadai.

Rekomendasi Mitigasi untuk Administrator Server

Untuk mengurangi risiko serangan, administrator disarankan terlebih dahulu melakukan audit terhadap seluruh versi PHP yang digunakan di lingkungan organisasi.

Pemeriksaan tidak hanya perlu dilakukan terhadap server yang dapat diakses publik, tetapi juga server internal yang mungkin tetap memiliki hubungan dengan jaringan organisasi.

Administrator juga disarankan memperbarui PHP ke rilis keamanan terbaru pada cabang aktif yang digunakan. Dalam laporan tersebut, versi yang direkomendasikan antara lain PHP 8.2.35, 8.3.36, 8.4.27, atau 8.5.12.

Sementara untuk sistem yang masih memakai PHP 5.x hingga PHP 8.1, proses migrasi sebaiknya direncanakan secara bertahap.

Apabila migrasi belum dapat dilakukan, administrator dapat memastikan distribusi Linux yang digunakan menyediakan backported security patch, membatasi akses server melalui Web Application Firewall (WAF) atau VPN, serta menonaktifkan layanan yang tidak diperlukan.

Konfigurasi expose_php=off pada file php.ini juga dapat diterapkan untuk mengurangi informasi versi PHP yang terlihat dari luar dan mempersulit proses pemindaian otomatis.

Selain itu, administrator perlu memantau log server secara rutin, terutama apabila muncul error kehabisan memori secara berulang. Isolasi jaringan juga penting diterapkan agar apabila satu server berhasil disusupi, serangan tidak mudah menyebar ke sistem penting lainnya.

Temuan ini menjadi pengingat bahwa pengelolaan keamanan website tidak cukup hanya memastikan situs tetap dapat diakses. Pembaruan perangkat lunak, pengawasan konfigurasi server, serta migrasi sistem lama menjadi langkah penting untuk mengurangi risiko eksploitasi keamanan.