{"id":70,"date":"2026-10-26T14:32:22","date_gmt":"2026-10-26T07:32:22","guid":{"rendered":"https:\/\/cyberwarhq.com\/?p=70"},"modified":"2026-10-26T14:32:23","modified_gmt":"2026-10-26T07:32:23","slug":"69-server-indonesia-bisa-diretas-dalam-hitungan-menit-dan-kita-baru-tahu-sekarang","status":"publish","type":"post","link":"https:\/\/cyberwarhq.com\/?p=70","title":{"rendered":"69% Server Indonesia Bisa Diretas dalam Hitungan Menit\u2014dan Kita Baru Tahu Sekarang"},"content":{"rendered":"\n

Lo tau nggak, ada satu pertanyaan yang bikin gue nggak bisa tidur setelah baca laporan Vaksincom minggu lalu. Bukan soal angkanya\u201469,6% server di Indonesia pakai PHP versi mati. Angkanya udah bikin merinding, tapi bukan itu. Pertanyaan yang bikin gue gerah adalah: versi PHP 5.6.40 itu berhenti dapat patch keamanan sejak akhir 2018. Delapan tahun lalu. Kenapa masih ada 6.598 kecocokan yang jalan di versi itu di tahun 2026?<\/em> <\/a><\/a><\/p>\n\n\n\n

Kalau lo kepala dinas Kominfo, administrator server, atau staf TI di instansi pemerintah, lo mungkin udah liat angka ini beredar di grup WhatsApp. Tapi mari kita jujur sebentar. Masalahnya bukan “kita nggak tau”. Masalahnya bukan “nggak ada waktu update”. Masalahnya adalah sesuatu yang lebih uncomfortable: nggak ada satu orang pun yang mau nanggung risiko dan biaya buat bilang “ya udah, kita rombak semua, apapun yang terjadi.”<\/p>\n\n\n\n

Angka yang bukan sekadar angka<\/h2>\n\n\n\n

Vaksincom memindai server publik Indonesia per 23 Oktober 2026. Dari 99.896 kecocokan versi PHP yang terdeteksi, 69.546 di antaranya atau 69,6% jalan di versi End of Life . Artinya nggak dapat pembaruan keamanan resmi lagi. Celah yang mereka sorot namanya PHP2Shell, skor keparahan 9,2 dari 10. Remote code execution tanpa perlu login. Sekali masuk, server diambil alih sepenuhnya .<\/a><\/a><\/p>\n\n\n\n

Sektor pemerintahan? 96,7% dari 1.621 kecocokan versi yang terbaca di domain .go.id jalan di PHP EOL . Hampir semuanya. Bukan setengah. Bukan mayoritas. Hampir seluruhnya.<\/a><\/p>\n\n\n\n

Sekarang, gue mau lo duduk sebentar dan mikir. Kalau lo administrator server di salah satu instansi itu, dan lo baca angka ini, apa reaksi pertama lo? Kalau jujur, mungkin bukan “astaga kita harus segera migrasi.” Mungkin lebih ke: “ya tapi sistem kita jalan kok, nggak ada masalah selama ini.” Atau yang lebih jujur lagi: “itu bukan prioritas anggaran tahun ini.”<\/p>\n\n\n\n

Dan di situlah masalahnya.<\/p>\n\n\n\n

Kenapa PHP 5.6.40 masih hidup di 2026<\/h2>\n\n\n\n

Alfons Tanujaya dari Vaksincom bilang masalah utamanya bukan keengganan update. Ini soal legacy system. Aplikasi lama yang dibangun bertahun-tahun lalu, yang struktur kodenya nggak kompatibel dengan PHP modern. Migrasi berarti perombakan total. Dan perombakan total berarti anggaran. Anggaran berarti pengajuan. Pengajuan berarti rapat. Rapat berarti… ya, lo tau lah gimana ujungnya .<\/a><\/p>\n\n\n\n

Tapi ada satu hal yang Alfons sebut dan ini yang bikin gue pengen banting gelas: banyak server publik dipasang pakai XAMPP. Paket instalasi instan yang sebenarnya cuma buat tahap uji coba pengembangan. Bukan buat server produksi yang terbuka ke internet . Artinya, ada orang yang dengan santainya pasang XAMPP di server yang menghadap publik, lalu ditinggal begitu saja. Bertahun-tahun.<\/a><\/p>\n\n\n\n

Ini bukan cerita tentang teknologi yang ketinggalan. Ini cerita tentang keputusan yang nggak pernah diambil. Karena mengambil keputusan berarti menanggung konsekuensinya. Dan di birokrasi, menanggung konsekuensi sering kali bukan hal yang menguntungkan karier.<\/p>\n\n\n\n

Tiga skenario yang mungkin lo kenal<\/h2>\n\n\n\n

Skenario pertama: Dinas X di Jawa Tengah.<\/strong> Server layanan publiknya masih jalan di PHP 7.4. Aplikasinya dibangun vendor pada 2019. Vendornya udah nggak ada. Kontraknya selesai. Nggak ada dokumentasi. Kepala dinas yang sekarang nggak mau ambil risiko migrasi karena “sistemnya jalan, kenapa diganggu?” Kalau nanti rusak, siapa yang tanggung jawab? Pertanyaan itu, yang nggak pernah diucapkan tapi selalu ada di ruang rapat, adalah alasan sebenarnya kenapa 96,7% server .go.id masih EOL .<\/a><\/p>\n\n\n\n

Skenario kedua: Kementerian Y di Jakarta.<\/strong> Mereka punya anggaran. Mereka punya tim IT. Tapi prioritasnya selalu ke fitur baru. Aplikasi baru. Dashboard baru. Karena fitur baru kelihatan. Bisa dipamerkan. Bisa masuk berita. Migrasi PHP dari 5.6 ke 8.x? Nggak ada yang bisa difoto. Nggak ada yang bisa di-press release. Jadi ditaruh di bawah. Setiap tahun. Sampai akhirnya celah PHP2Shell ini muncul dan semua orang panik.<\/p>\n\n\n\n

Skenario ketiga: Pemerintah Kabupaten Z.<\/strong> Ini yang paling menyakitkan. Mereka sebenarnya mau migrasi. Tapi anggaran IT dipotong. Tim IT cuma dua orang, satu di antaranya merangkap tugas lain. Mereka tau risikonya. Mereka baca laporan Vaksincom. Tapi mereka nggak punya daya. Dan ketika gue baca temuan akademik yang bilang bahwa Indonesia mengalami lonjakan serangan siber jadi 3,64 miliar anomali trafik hanya dalam Januari-Juli 2025, dengan faktor penyebab termasuk “keterbatasan sumber daya manusia dan infrastruktur keamanan siber, khususnya di instansi pemerintah daerah,” gue sadar skenario ini bukan pengecualian. Ini pola .<\/a><\/p>\n\n\n\n

Yang sering dilupakan: audit itu ada, tapi…<\/h2>\n\n\n\n

BSSN udah ngeluarin Keputusan Kepala BSSN Nomor 60 Tahun 2026 tentang Kriteria Audit Keamanan SPBE. Di situ diatur audit internal setahun sekali, audit eksternal untuk layanan prioritas . Regulasinya ada. Frameworks-nya ada. Tapi regulasi tanpa konsekuensi? Ya cuma dokumen.<\/a><\/a><\/p>\n\n\n\n

Ada temuan akademik yang lebih tajam. Indeks SPBE nasional naik dari 2,34 di 2022 ke 3,12 di 2024. Bagus. Tapi di periode yang sama, temuan kebocoran data di dark web naik 33,5 kali lipat. Dan insiden PDNS 2\u2014yang menimpa infrastruktur kementerian dengan skor SPBE tertinggi\u2014cuma punya sekitar 2% data yang dicadangkan . Dua persen.<\/a><\/p>\n\n\n\n

Jadi lo punya instansi dengan skor kematangan tertinggi. Lo punya audit keamanan yang dijadwalkan. Dan lo punya 2% backup. Ini bukan kegagalan teknis. Ini kegagalan sistem insentif. Yang diukur adalah kepatuhan proses, bukan ketahanan aktual. Dan selama yang diukur adalah dokumen, bukan eksploitasi, maka 69% server akan tetap EOL.<\/p>\n\n\n\n

Yang bisa lo lakuin minggu ini (bukan tahun depan)<\/h2>\n\n\n\n

Oke, gue nggak mau cuma bikin lo depresi. Kalau lo punya posisi di instansi\u2014apapun levelnya\u2014ini yang bisa lo mulai. Bukan proposal besar. Bukan pengajuan anggaran miliaran. Tapi langkah kecil yang nggak butuh tanda tangan siapa-siapa.<\/p>\n\n\n\n

Pertama, scan diri sendiri.<\/strong> Lo nggak perlu Vaksincom buat tau versi PHP yang lo jalanin. Buka terminal, ketik php -v<\/code>. Atau buka halaman phpinfo()<\/code> di server lo. Kalau angkanya 5.6, 7.0, 7.4\u2014lo bagian dari 69,6% itu. Tapi jangan panik. Mulai dari tau dulu.<\/p>\n\n\n\n

Kedua, petakan mana yang benar-benar menghadap internet.<\/strong> Nggak semua server harus di-patch minggu ini. Tapi server yang punya port terbuka ke publik dan jalan di PHP EOL? Itu prioritas. Kalau ada firewall atau WAF di depan, setidaknya itu mitigasi sementara. Tapi jangan berhenti di situ.<\/p>\n\n\n\n

Ketiga, kalau migrasi penuh nggak mungkin, cari backport.<\/strong> Beberapa distribusi Linux masih nyediain patch keamanan buat versi PHP lama lewat mekanisme backport. Vaksincom sendiri nyatet bahwa jumlah server yang terdeteksi menerapkan patch belum tentu menggambarkan seluruh server yang terlindungi, karena backporting ini . Tanya vendor OS lo. Tanya apakah patch PHP2Shell udah tersedia untuk stack lo.<\/a><\/p>\n\n\n\n

Keempat, dan ini yang paling penting: dokumentasikan.<\/strong> Kalau lo tau ada server EOL tapi lo nggak punya wewenang, tulis. Bikin memo satu halaman. Screenshot hasil scan. Kirim ke atasan lo. Bukan buat bikin panik. Tapi buat menciptakan jejak bahwa lo udah ngasih tau. Karena ketika sesuatu terjadi\u2014dan dengan 69% server EOL, bukan “kalau” tapi “kapan”\u2014jejak itu yang membedakan lo dari orang yang “nggak tau”.<\/p>\n\n\n\n

Kesalahan yang bikin kita tetap di 69%<\/h2>\n\n\n\n

Kesalahan pertama: nganggep “belum kena” berarti “aman”.<\/strong> Ini logical fallacy yang paling umum. Server lo nggak kena selama lima tahun bukan karena aman. Tapi karena belum ada yang repot-repot ngeksploitasi. Begitu celah PHP2Shell jadi publik, hitungannya bukan tahun lagi. Menit.<\/p>\n\n\n\n

Kesalahan kedua: nunggu anggaran.<\/strong> Migrasi PHP nggak harus jadi proyek besar. Kadang yang dibutuhin cuma satu orang dengan akses SSH dan satu akhir pekan buat ngetes kompatibilitas. Tapi kalau lo nunggu proposal anggaran disetujui, celahnya udah dieksploitasi jauh sebelum itu.<\/p>\n\n\n\n

Kesalahan ketiga: percaya bahwa audit berarti aman.<\/strong> Audit keamanan SPBE mengukur kepatuhan. Bukan ketahanan. Dua hal yang beda. Instansi dengan skor SPBE tertinggi pun bisa punya 2% backup. Jangan pernah menyamakan sertifikat dengan keamanan aktual.<\/p>\n\n\n\n

\n\n\n\n

Jadi balik ke pertanyaan awal. Kenapa 6.598 kecocokan PHP 5.6.40 masih jalan di server Indonesia tahun 2026?<\/p>\n\n\n\n

Jawabannya bukan karena kita nggak tau. Kita tau. Vaksincom udah kasih angkanya. BSSN udah bikin regulasinya. Audit udah dijadwalkan. Jawabannya adalah karena memperbaiki ini berarti seseorang harus mengakui bahwa sistem yang selama ini jalan\u2014dan dianggap “baik-baik aja”\u2014sebenarnya rapuh. Dan mengakui itu, di lingkungan yang mengukur kinerja dari dokumen dan dashboard, bukan dari eksploitasi yang berhasil dicegah, adalah keputusan yang nggak nyaman.<\/p>\n\n\n\n

Tapi 69,6% server yang bisa diambil alih dalam hitungan menit bukan masalah yang bisa diabaikan sampai anggaran tahun depan. Ini masalah yang ada di depan mata. Dan satu-satunya cara mengubahnya adalah kalau ada cukup orang di dalam sistem yang berani bilang: “Ya, ini akan nyakitin. Tapi kita harus mulai.”<\/p>\n\n\n\n

Lo bisa jadi orang pertama di rapat Senin besok.<\/p>\n","protected":false},"excerpt":{"rendered":"

Lo tau nggak, ada satu pertanyaan yang bikin gue nggak bisa tidur setelah baca laporan Vaksincom minggu lalu. Bukan soal angkanya\u201469,6% server di Indonesia pakai PHP versi mati. Angkanya udah bikin merinding, tapi bukan itu. Pertanyaan yang bikin gue gerah adalah: versi PHP 5.6.40 itu berhenti dapat patch keamanan sejak akhir 2018. Delapan tahun lalu. … Lanjutkan membaca 69% Server Indonesia Bisa Diretas dalam Hitungan Menit\u2014dan Kita Baru Tahu Sekarang<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":71,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-70","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/posts\/70","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=70"}],"version-history":[{"count":1,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/posts\/70\/revisions"}],"predecessor-version":[{"id":72,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/posts\/70\/revisions\/72"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=\/wp\/v2\/media\/71"}],"wp:attachment":[{"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=70"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=70"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cyberwarhq.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=70"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}