JAKARTA – Pakar keamanan siber Pratama Pershada mengingatkan pengelola situs web di Indonesia untuk mewaspadai celah keamanan kritis pada bahasa pemrograman PHP. Kerentanan tersebut dilaporkan membuat sejumlah situs pemerintah di Eropa menonaktifkan layanan sementara sebagai langkah pencegahan terhadap potensi serangan siber.
Menurut Pratama, risiko yang perlu diperhatikan di Indonesia bukan hanya kemungkinan terjadinya serangan secara massal, tetapi juga kesiapan pengelola sistem dalam mendeteksi dan memperbaiki kerentanan.
Ia menjelaskan, PHP digunakan secara luas untuk menjalankan situs web, termasuk milik instansi pemerintah, pemerintah daerah, dan sekolah. Namun, sebagian situs diduga masih menggunakan PHP versi lama yang tidak lagi memperoleh pembaruan keamanan, seperti PHP 7 atau PHP 5.6.
“Banyak (situs) yang masih (menggunakan) PHP 7 atau bahkan 5.6. Versi itu sudah tidak didukung lagi, jadi tidak akan pernah dapat tambalan. Itu bukan lagi soal bug, itu soal situs yang sudah lama tidak dirawat,” tutur Pratama, Jumat (23/10/2026).
Penggunaan perangkat lunak yang sudah tidak didukung dapat meningkatkan risiko keamanan karena kerentanan yang ditemukan tidak lagi ditangani melalui pembaruan rutin untuk versi tersebut.
Risiko Celah PHP, dari Gangguan Layanan hingga Pencurian Data
Pratama mengingatkan bahwa dampak eksploitasi celah keamanan tidak terbatas pada situs web yang tiba-tiba tidak dapat diakses. Apabila penyerang berhasil menyusupi server, data yang tersimpan di dalam sistem juga berpotensi terancam.
Data tersebut dapat mencakup nama, nomor induk kependudukan (NIK), nomor telepon, kata sandi, hingga informasi transaksi, bergantung pada data yang disimpan dan tingkat akses yang berhasil diperoleh penyerang.
Karena itu, pengelola situs perlu memperhatikan keamanan server dan basis data, bukan hanya memastikan halaman web dapat dibuka secara normal.
Sebelumnya, sejumlah situs pemerintah di Eropa dan beberapa wilayah dilaporkan tidak dapat diakses pada Rabu (21/10/2026), menyusul temuan kerentanan kritis pada PHP. Celah tersebut disebut ditemukan dengan bantuan kecerdasan buatan atau artificial intelligence (AI).
Sejumlah lembaga pemerintah kemudian memilih menonaktifkan situs mereka untuk sementara setelah muncul peringatan mengenai dugaan eksploitasi kerentanan tersebut.
Pratama menegaskan bahwa penonaktifan layanan perlu dibedakan dari gangguan yang terjadi akibat serangan langsung. Menurut dia, sejumlah situs tersebut dinonaktifkan sebagai langkah pencegahan untuk mengurangi risiko eksploitasi, bukan semata-mata karena berhasil dilumpuhkan peretas.
Kerentanan Berada di PHP, Bukan Otomatis pada WordPress
Pratama menjelaskan bahwa kerentanan yang dimaksud berada pada PHP, bukan secara otomatis pada WordPress atau plugin yang digunakan sebuah situs.
PHP merupakan bahasa pemrograman yang dapat berjalan pada sisi server, sedangkan WordPress adalah sistem manajemen konten yang dapat menggunakan PHP. Keduanya memiliki lapisan pembaruan dan pengelolaan yang berbeda.
Artinya, situs yang menggunakan WordPress dan memiliki plugin terbaru sekalipun tetap perlu memastikan lingkungan servernya aman. Jika versi PHP yang digunakan rentan terhadap celah tertentu, pembaruan WordPress saja belum tentu menyelesaikan masalah tersebut.
Pratama mengatakan hingga Jumat (23/10/2026) pagi, ia belum menemukan laporan resmi mengenai situs besar di Indonesia yang menonaktifkan layanan akibat persoalan tersebut.
Dalam pemeriksaannya, beberapa layanan publik, seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id, masih merespons secara normal.
“Saya cek beberapa layanan publik yang biasa dipakai banyak orang seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id. Semuanya masih merespons normal, tidak ada indikasi pemadaman,” ungkapnya.
Meski demikian, layanan yang dapat diakses tidak otomatis membuktikan bahwa server bebas dari kerentanan. Pemeriksaan lebih lanjut tetap diperlukan untuk memastikan versi perangkat lunak dan konfigurasi keamanan yang digunakan.
Pengelola Situs Pemda dan Sekolah Perlu Mendapat Perhatian
Pratama turut menyoroti peringatan keamanan yang diterbitkan Badan Siber dan Sandi Negara (BSSN). Menurut dia, penanganan ancaman semacam ini perlu disertai langkah konkret, bukan hanya imbauan kepada pengelola sistem.
Ia menilai pendataan terhadap situs dan server instansi yang masih menggunakan versi PHP rentan perlu dilakukan, terutama di lingkungan pemerintah daerah dan sekolah.
Tantangannya, sebagian situs tersebut dikelola oleh vendor berskala kecil atau staf teknologi informasi yang juga menangani berbagai tugas lain.
“Ribuan situs pemda dan sekolah dikelola vendor kecil atau bahkan satu orang staf TI yang merangkap. Kelompok inilah yang paling mungkin belum tahu dan paling mungkin belum memperbarui,” kata Pratama.
Kondisi tersebut dapat menyulitkan pemantauan dan penerapan pembaruan keamanan secara konsisten. Karena itu, inventarisasi sistem, pemeriksaan versi PHP, serta penetapan pihak yang bertanggung jawab atas pembaruan menjadi bagian penting dalam pengelolaan keamanan digital.
Langkah Mitigasi untuk Pengelola Situs dan Masyarakat
Pratama mengingatkan masyarakat agar tidak panik, tetapi tetap waspada. Pengelola situs perlu segera memeriksa apakah server mereka menggunakan versi PHP yang terdampak dan mengikuti rekomendasi keamanan resmi.
Beberapa langkah mitigasi yang dapat dilakukan pengelola sistem meliputi:
- Memeriksa versi PHP dan status dukungannya. Pastikan versi yang digunakan masih memperoleh pembaruan keamanan dan tidak termasuk versi yang terdampak kerentanan.
- Memasang pembaruan keamanan yang sesuai. Pembaruan harus mengikuti rekomendasi resmi untuk kerentanan yang dimaksud dan diuji agar tidak mengganggu layanan.
- Meminta bantuan penyedia hosting atau administrator server. Jika pengelola situs tidak memiliki akses atau kemampuan untuk memperbarui PHP, koordinasikan dengan pihak yang bertanggung jawab atas server.
- Membatasi akses sementara jika diperlukan. Apabila sistem belum dapat diperbarui dan dinilai berisiko, akses dari internet dapat dibatasi berdasarkan penilaian keamanan dan prosedur operasional.
- Memeriksa log dan akses sistem. Pengelola perlu menelusuri aktivitas mencurigakan serta memastikan data dan cadangan sistem terlindungi.
Pratama juga mengingatkan bahwa pembaruan WordPress tidak sama dengan pembaruan PHP. WordPress dapat memiliki mekanisme pembaruan otomatis, tetapi pembaruan PHP pada umumnya bergantung pada pengelola hosting atau administrator server.
“Perlu diingat, WordPress biasanya punya pembaruan otomatis, tapi PHP tidak. PHP ada di lapisan server, dan yang bertanggung jawab memperbarui adalah pengelola hosting atau admin server,” ujarnya.
Sementara itu, masyarakat diminta berhati-hati terhadap email atau pesan yang menyertakan tautan untuk meminta login ulang ke layanan pemerintah. Permintaan data yang tidak wajar, seperti foto KTP dan swafoto, juga perlu diperiksa terlebih dahulu apabila tidak sesuai dengan proses layanan yang biasa digunakan.
Selain itu, masyarakat disarankan memantau mutasi rekening dan email, terutama jika menerima pemberitahuan perubahan kata sandi yang tidak dilakukan sendiri. Jika menemukan aktivitas mencurigakan, segera amankan akun dan hubungi penyedia layanan terkait.
Langkah-langkah tersebut dapat membantu mengurangi risiko penyalahgunaan data, baik ketika terjadi eksploitasi kerentanan maupun ketika penyerang mencoba memanfaatkan situasi melalui penipuan digital.
