Respons Indonesia terhadap PHP2Shell dan Eksposur Situs .go.id

PHP2Shell Indonesia menjadi sorotan sejak BSSN menerbitkan peringatan pada 22 Oktober 2026, disusul pemindaian eksposur situs .go.id oleh peneliti dan media. Artikel ini merangkum respons yang tercatat, angka yang bisa dipertanggungjawabkan, dan apa yang perlu dilakukan instansi serta pengelola situs. Perlu dibedakan sejak awal: eksposur bukan berarti situs sudah diretas.

Latar belakang singkat

PHP2Shell adalah dua celah kritis di mesin PHP, CVE-2026-109618 dan CVE-2026-109619, yang dapat memungkinkan eksekusi kode jarak jauh tanpa login. Patch resmi keluar pada 21 Oktober 2026 (PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35), dan CISA memasukkan keduanya ke katalog KEV pada 26 Oktober 2026 karena sudah dieksploitasi. Penjelasan teknis dan langkah patch ada di artikel PHP2Shell: celah kritis PHP dan cara mengamankannya. Di sini kita melihat sisi Indonesia.

Respons Indonesia terhadap PHP2Shell: BSSN, Komdigi, dan instansi

• BSSN menerbitkan peringatan pada 22 Oktober 2026 dan lewat akun X resminya meminta pemilik serta pengelola situs segera bertindak. Menurut Kompas, BSSN memperingatkan dampak berupa gangguan layanan, pengambilalihan sistem, serta data yang diakses, diubah atau dihapus. Kompas juga mencatat, berdasarkan data W3Techs, PHP dipakai pada sekitar 70 persen situs yang teknologi server-side-nya bisa dikenali. Pada hari yang sama BSSN menggelar kegiatan kesiapan Gov-CSIRT/TTIS yang diikuti 289 peserta, menurut Katadata.
• Komdigi, melalui Plt. Kepala Biro Humas Farida Dewi Maharani pada 23 Oktober, menyatakan terus berkoordinasi dengan BSSN. Penanganan teknis berada di bawah BSSN, sedangkan Komdigi membantu menyebarkan peringatan ke publik.
• Kementerian Perindustrian menonaktifkan sementara SIINas, situs utama, dan seluruh domain kemenperin.go.id mulai 22 Oktober 2026 pukul 22.00 WIB, dengan rencana berlangsung hingga 25 Oktober, menurut Bisnis.com. Alasannya menjaga keamanan sistem informasi terkait PHP2Shell.

Angka eksposur: apa yang diukur dan apa yang tidak

Dua pemindaian publik beredar dan keduanya perlu dibaca dengan hati-hati.

• Lembaga riset CISSReC, seperti dilaporkan Katadata, memeriksa 597 domain .go.id pada 22 Oktober. Sebanyak 529 merespons. Dari jumlah itu, 11 memakai PHP yang belum ditambal, 41 memakai versi tanpa dukungan (PHP 5.4 sampai 8.1), dan 19 menyembunyikan versinya, sehingga totalnya 71 domain yang rentan atau tidak bisa dipastikan aman. Sebanyak 68 domain tidak merespons dan tidak dinilai.
• Seorang programmer memeriksa sekitar 2.000 situs .go.id lewat header HTTP publik. Hasilnya 304 situs menampilkan PHP dan 302 di antaranya ditandai rentan, menurut Kompas. Kompas mencatat bahwa hasil ini tidak membuktikan ada situs yang diretas.

Keterbatasannya penting. Pemeriksaan berbasis header hanya melihat versi yang diumumkan server. Server yang menyembunyikan header tampak aman padahal belum tentu, dan server yang tampak memakai versi lama bisa saja sudah ditambal lewat backport distribusi Linux tanpa menaikkan nomor versi. Karena itu angka di atas adalah perkiraan eksposur, bukan jumlah situs yang berhasil dibobol. Per 29 Oktober 2026, belum ada laporan terkonfirmasi tentang kompromi situs pemerintah tertentu akibat PHP2Shell, dan tidak ada atribusi pelaku. Angka global pun sama sifatnya: Tenable mengutip perkiraan kasar peneliti Silas Cutler tentang lebih dari 1,3 juta host yang terhubung internet dan berpotensi rentan, serta hitungan Shodan oleh Henk Poley tentang lebih dari 1,9 juta host yang menjalankan PHP. Keduanya perkiraan eksposur, bukan jumlah sistem yang diretas.

Pelajaran untuk instansi dan pengelola situs

1. Inventarisasi aset PHP. Catat setiap sistem PHP: CMS (WordPress, Drupal, Joomla), sistem jurnal, aplikasi buatan vendor, dan panel hosting. Banyak aset terlupakan baru ketahuan saat insiden.
2. Patch yang menghadap internet lebih dulu, lalu restart semua worker PHP agar perbaikan benar-benar aktif.
3. Tangani PHP yang sudah end-of-life. PHP 8.1 dan yang lebih lama tidak lagi menerima pembaruan dari proyek PHP, sehingga versi 7.4 sampai 8.1 tidak mendapat rilis resmi. Tim keamanan PHP hanya menyediakan backport source minimal untuk yang mengompilasi sendiri; selebihnya butuh paket backport dari distribusi atau vendor LTS, atau migrasi ke versi yang didukung. PHP 7.3 ke bawah tidak punya perbaikan dari proyek PHP. CISA bahkan meminta sistem yang masih memakai PHP 8.1 atau lebih lama dimatikan sampai diperbarui.
4. Menyembunyikan versi PHP bukan mitigasi. Itu hanya menyulitkan pemindaian sederhana dan justru membuat Anda sendiri sulit membuktikan situs aman.
5. Cari web shell, bukan hanya patch. Perbaikan tidak menghapus file jahat yang sempat ditanam. Periksa file baru di web root, akun admin baru, cron job, dan koneksi keluar dari proses PHP. Percobaan eksploitasi pertama yang tercatat, oleh Amazon Threat Intelligence, terjadi pada 17 Oktober, sebelum patch tersedia.
6. Siapkan rencana respons insiden. Bila ada indikasi kompromi, ikuti tahapan di incident response: isolasi, kumpulkan bukti sebelum restart, bersihkan, lalu pulihkan.
7. Pikirkan data pribadi. Bila sistem menyimpan data warga atau pegawai, kebocoran membawa konsekuensi hukum. Ringkasan kewajibannya ada di artikel UU PDP.

Mematikan situs sementara seperti yang dilakukan Kemenperin adalah opsi yang sah bila patch belum bisa diterapkan cepat, dan sejalan dengan saran CISA untuk sistem yang tidak bisa segera ditambal. Konsekuensinya adalah layanan publik terhenti, jadi keputusan ini perlu dikomunikasikan dengan jelas kepada pengguna.

Mengapa ini relevan di Indonesia

Indonesia memiliki banyak situs pemerintah, kampus, dan UMKM berbasis PHP, sering di hosting bersama dengan pengelola yang berbeda-beda. Rantai tanggung jawab yang panjang memperlambat patch. Pemetaan risiko lebih luas ada di artikel pentingnya cyber security di Indonesia. Per 29 Oktober 2026, situasi masih berkembang, jadi ikuti kanal resmi BSSN dan vendor Anda.

Komunikasi publik saat layanan dimatikan

Ketika sebuah instansi menonaktifkan layanan untuk menahan risiko, pengguna perlu tahu tiga hal: apa yang tidak tersedia, perkiraan kapan kembali, dan kanal untuk bertanya. Pengumuman Kemenperin mencantumkan jadwal, imbauan menyesuaikan kegiatan yang bergantung pada layanan itu, dan nomor unit layanan publik. Praktik semacam ini mengurangi kebingungan dan spekulasi, dan patut ditiru organisasi lain yang menghadapi situasi serupa.

Pertanyaan yang Sering Diajukan

Apakah situs .go.id yang masuk daftar pemindaian pasti sudah diretas?

Tidak. Pemindaian hanya memperkirakan eksposur dari versi yang tampak. Kompromi hanya bisa dipastikan lewat pemeriksaan server, log, dan file.

Apakah pengelola situs kecil perlu khawatir?

Ya. Celah ada di PHP itu sendiri, sehingga situs kecil di hosting bersama ikut terpapar jika penyedia hosting belum memperbarui PHP. Tanyakan status patch kepada penyedia Anda.

Apa langkah pertama paling cepat?

Cari tahu versi PHP yang melayani situs Anda, perbarui ke versi perbaikan atau paket backport vendor, lalu restart. Panduan langkahnya ada di cara mengecek server terdampak PHP2Shell.

Kesimpulan

Respons Indonesia terhadap PHP2Shell menunjukkan dua hal: peringatan resmi bergerak cepat, tetapi gambaran eksposur masih bergantung pada pemindaian eksternal yang terbatas. Instansi dan perusahaan sebaiknya tidak menunggu bukti kompromi untuk bertindak. Jika organisasi Anda ingin memetakan aset PHP dan menguji kesiapan respons, Linuxhackingid melayani asesmen keamanan dan pelatihan tim lewat halaman kontak kami.