Tujuh dari sepuluh server PHP di Indonesia, tepatnya 69,6 persen, memakai versi End of Life yang tidak lagi menerima tambalan resmi. Temuan itu berasal dari pemindaian internet per Jumat, 23 Oktober 2026, yang dirilis PT Vaksincom lewat analisis Alfons Tanujaya.
Celah PHP2Shell berskor CVSS 9,2 memungkinkan penyerang mengambil alih server sepenuhnya tanpa login. Vaksincom menegaskan dalam pernyataan tertulis, “Tujuh dari sepuluh server PHP di Indonesia yang terlihat dari internet tidak dapat ditambal menggunakan patch resmi.”
Pemerintah dan perusahaan
Di sektor pemerintah (.go.id), 1.621 dari 1.677 versi terbaca sudah EOL, dan versi terbanyaknya PHP 5.6.40. Perusahaan (.co.id) mencatat 4.495 EOL dari 4.650 versi terbaca, sama-sama 96,7 persen.
Dari 99.896 kecocokan versi, hanya 226 yang sudah ditambal. Hanya 886 host terdeteksi memakai WAF.
Jalan keluar
Vaksincom menyarankan audit versi PHP di semua server, termasuk intranet, lalu pembaruan ke 8.2.35 atau 8.3.36. Pilihan lain 8.4.27 dan 8.5.12. Server EOL dimigrasikan bertahap dengan WAF atau VPN sebagai pembatas sementara, dan expose_php disetel Off.
Menurut Vaksincom, “Tantangan utama di lapangan bukan sekadar memperbarui versi, melainkan masalah kompatibilitas aplikasi warisan (legacy system) yang memerlukan perombakan kode agar dapat berjalan di lingkungan PHP 8 modern.”
Angka itu jumlah kecocokan. Server di balik CDN seperti Cloudflare tidak terdata, dan backport distro Linux bisa menaikkan jumlah server terlindungi.
Jika server EOL belum bisa ditambal dan sistem warisan belum siap pindah, siapa yang menutup celah itu lebih dulu?