304 Situs .go.id Masih Pakai PHP Versi Lama saat Serangan PHP2Shell Berlangsung

Seorang programmer memindai sekitar 2.000 situs pemerintah berdomain .go.id dan menemukan 304 di antaranya menjalankan PHP. Dari jumlah itu, hanya dua yang terdeteksi sudah memakai versi PHP dengan perbaikan keamanan PHP2Shell.

Temuan Tjandra Aji itu diunggah ke Threads dan dikutip Kompas Tekno pada 23 Oktober 2026. Pemeriksaan dilakukan memakai informasi publik pada HTTP header situs, bukan akses langsung ke server. Tjandra menjelaskan metodologinya saat dihubungi Kompas Tekno.

Angka itu muncul di tengah krisis keamanan yang belum surut. Dua celah kritis PHP — CVE-2026-109618 dan CVE-2026-109619 — masing-masing berbobot CVSS v4.0 9,2. Tim PHP merilis perbaikan pada 21 Oktober 2026 lewat versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Kementerian Perindustrian sudah merespons dengan langkah paling drastis: mematikan seluruh domain kemenperin.go.id, termasuk portal TKDN dan SIINas.

Kemenperin memilih memadamkan, bukan menambal

Penonaktifan diumumkan lewat akun Instagram resmi @kemenperin_ri. Layanan yang dimatikan mencakup Sistem Informasi Industri Nasional (SIINas), situs utama kementerian, dan seluruh domain kemenperin.go.id. Jadwalnya 22 hingga 25 Oktober 2026.

Bagi dunia usaha, dampaknya langsung terasa. Portal TKDN adalah rujukan utama untuk mengurus sertifikat Tingkat Komponen Dalam Negeri — dokumen yang dibutuhkan perusahaan untuk ikut pengadaan barang dan jasa pemerintah. SIINas menjadi kanal pelaporan data industri. Selama empat hari, kedua layanan itu tidak bisa diakses publik.

Pilihan memadamkan sistem lebih cepat daripada menambal seluruh layanan satu per satu, tetapi harganya adalah terhentinya layanan publik. Ini bukan keputusan yang diambil ringan, dan justru menunjukkan skala masalahnya.

Kenapa situs pemerintah lambat menambal

Tiga faktor membuat patching di lingkungan pemerintah lebih lambat daripada di sektor swasta.

Pertama, versi PHP sering terkunci oleh aplikasi. Banyak sistem informasi pemerintah dibangun di atas aplikasi lama yang hanya lolos uji pada versi PHP tertentu. Menaikkan PHP bisa memicu galat di aplikasi yang tidak lagi punya pemelihara.

Kedua, banyak situs berjalan di luar kendali langsung pemiliknya. Domain .go.id dikelola masing-masing instansi, sering lewat vendor pihak ketiga. Instansi pusat bisa mengeluarkan imbauan, tetapi tidak selalu bisa mengeksekusi patch di server daerah.

Ketiga, pemindaian versi tidak selalu akurat. Header HTTP bisa menyembunyikan versi PHP yang sebenarnya, sehingga angka 304 adalah batas bawah, bukan angka final. Situs yang tidak menampilkan versi PHP tidak terhitung dalam pemindaian tersebut.

Serangan sudah berjalan sebelum celah diumumkan

Yang membuat tenggat 25 Oktober penting: Amazon mendeteksi upaya eksploitasi PHP2Shell sejak 17 Oktober 2026 — empat hari sebelum celah itu diumumkan dan patch dirilis. Artinya penyerang memanfaatkan kebocoran informasi lebih awal, sehingga jendela aman bagi pengelola situs praktis tidak ada.

Namun ada kabar yang meredakan kepanikan. Peneliti keamanan Sansec menilai eksploitasi massal tidak berjalan seperti yang dikhawatirkan pada hari rilis. Eksploitasi publik yang beredar tidak berhasil pada instalasi PHP standar, dan penyerangan memerlukan pengetahuan spesifik tentang server target. Sansec tetap menyarankan pembaruan PHP segera, bukan mematikan toko online.

BSSN dan Komdigi sebelumnya meminta pengelola situs tidak sekadar mengubah konfigurasi, tetapi benar-benar menambal sistem.

Cek sendiri dalam lima menit

Pemilik situs, termasuk pengelola situs instansi dan sekolah, bisa memeriksa apakah sistemnya sudah aman:

• Buka halaman PHP info atau tanya pengelola hosting soal versi PHP yang dipakai.

• Cocokkan dengan versi aman: 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 — atau versi lebih baru.

• Jika masih di bawahnya, ajukan pembaruan ke penyedia hosting. Untuk WordPress, pembaruan PHP biasanya bisa dilakukan dari panel hosting tanpa menyentuh kode aplikasi.

• Jika pembaruan belum memungkinkan, minta hosting memasang aturan mitigasi sementara dan pantau log akses untuk pola permintaan mencurigakan.

Bagi instansi pemerintah, pekerjaan rumahnya lebih besar: inventarisasi versi PHP di seluruh domain, bukan hanya di situs utama. Temuan 304 situs adalah peta awal yang bisa langsung dipakai.

Penonaktifan layanan Kemenperin berakhir 25 Oktober. Pertanyaan yang menentukan bukan sekadar kapan situs menyala kembali, tetapi apakah situs-situs itu kembali dengan PHP yang sudah ditambal — atau kembali dengan versi yang sama seperti sebelum dipadamkan.