Situs Pemerintah dan Sekolah di Indonesia Berisiko Akibat Penggunaan PHP Versi Lama

Sejumlah situs instansi pemerintah, pemerintah daerah, dan sekolah di Indonesia berpotensi terdampak celah keamanan kritis pada bahasa pemrograman PHP. Menurut pakar keamanan siber Pratama Pershada, risiko utama bukan semata ancaman serangan massal, melainkan kesiapan pengelola sistem dalam mendeteksi dan memperbaiki kerentanan karena banyak situs yang masih beroperasi menggunakan PHP versi lama.

Pratama menjelaskan kepada CNNIndonesia.com pada Jumat (23/10) bahwa sebagian situs tersebut masih menggunakan PHP 7 atau bahkan PHP 5.6. Versi-versi ini sudah tidak lagi mendapatkan dukungan pembaruan keamanan sehingga tidak akan pernah menerima tambalan. Kondisi ini membuat situs-situs tersebut rentan bukan sekadar karena bug baru, melainkan akibat kurangnya perawatan sistem dalam jangka panjang.

Kerentanan ini menjadi perhatian setelah sejumlah situs pemerintah di Eropa dan wilayah lain tidak dapat diakses pada Rabu (21/10). Penonaktifan itu dilakukan sebagai langkah pencegahan oleh lembaga terkait menyusul temuan celah keamanan kritis pada PHP yang ditemukan dengan bantuan kecerdasan buatan (AI), serta adanya peringatan bahwa peretas mulai mengeksploitasi celah tersebut. Pratama menegaskan bahwa situs-situs di Eropa itu tidak tumbang akibat serangan peretas, melainkan dimatikan sementara untuk mengurangi risiko eksploitasi.

Celah keamanan ini berada pada lapisan server PHP, bukan pada WordPress atau plugin yang digunakan sebuah situs. Artinya, situs yang dikelola dengan baik pun tetap berpotensi terdampak jika servernya menggunakan PHP versi rentan. Jika server berhasil disusupi, dampak praktisnya berupa pencurian basis data yang menyimpan informasi seperti nama, NIK, nomor telepon, kata sandi, hingga data transaksi.

Hingga Jumat (23/10) pagi, Pratama menyatakan belum menemukan laporan resmi mengenai situs besar di Indonesia yang mematikan layanan karena masalah ini. Pemeriksaan terhadap layanan publik seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id menunjukkan seluruhnya masih merespons secara normal tanpa indikasi pemadaman.

Meski demikian, Pratama menilai respons terhadap ancaman semacam ini tidak cukup hanya mengandalkan imbauan, termasuk peringatan keamanan resmi dari Badan Siber dan Sandi Negara (BSSN). Diperlukan pendataan terhadap situs dan server instansi yang masih menggunakan PHP versi rentan, terutama di lingkungan pemerintah daerah dan sekolah. Menurutnya, ribuan situs pemda dan sekolah dikelola oleh vendor kecil atau satu orang staf TI yang merangkap tugas, sehingga kelompok inilah yang paling mungkin belum mengetahui atau memperbarui sistemnya.

Bagi pengelola situs, Pratama menyarankan agar segera memeriksa sistem dan memperbarui PHP ke versi lebih baru, lalu memuat ulang server agar pembaruan diterapkan. Ia mengingatkan bahwa berbeda dengan WordPress yang biasanya memiliki pembaruan otomatis, PHP berada di lapisan server dan tanggung jawab pembaruannya ada pada pengelola hosting atau admin server. Apabila pembaruan belum bisa dilakukan, akses server dari internet disarankan untuk dibatasi sementara.

Sementara itu, masyarakat umum diimbau untuk tidak panik namun tetap waspada. Pratama menyarankan agar pengguna tidak langsung membuka email atau pesan berisi tautan yang meminta login ulang ke layanan pemerintah, serta mencurigai permintaan data tidak wajar seperti foto KTP dan swafoto tanpa proses verifikasi resmi. Selain itu, masyarakat perlu memantau mutasi rekening dan email, serta segera mengganti kata sandi apabila menerima pemberitahuan perubahan yang bukan dilakukan oleh mereka sendiri.