SULAWESI SELATAN — Pakar keamanan siber Pratama Pershada menyoroti risiko celah keamanan PHP terhadap situs instansi pemerintah, daerah, dan sekolah di Indonesia yang masih memakai versi lama tanpa dukungan pembaruan. Serangan massal bukan ancaman utama, melainkan kesiapan pengelola mendeteksi dan menambal kerentanan di lapisan server. Peringatan ini muncul setelah sejumlah situs pemerintah Eropa memilih menonaktifkan layanan sebagai langkah pencegahan.
Pratama menyampaikan hal tersebut kepada CNNIndonesia.com pada Jumat (23/10), merespons temuan celah keamanan kritis pada bahasa pemrograman PHP yang membuat sejumlah situs pemerintah di Eropa dan beberapa wilayah tidak dapat diakses pada Rabu (21/10). Celah keamanan itu ditemukan baru-baru ini dengan bantuan kecerdasan buatan (AI).
Menurut Pratama, hingga Jumat (23/10) pagi belum ada laporan resmi soal situs besar di Indonesia yang mematikan layanannya karena masalah tersebut. Ia juga belum menemukan kasus terkait celah keamanan kritis pada PHP di dalam negeri.
Mengapa Situs Pemda dan Sekolah Paling Rentan
PHP dipakai oleh banyak situs instansi pemerintah, pemerintah daerah, dan sekolah di Indonesia. Sebagian di antaranya masih beroperasi dengan PHP 7 atau bahkan PHP 5.6 yang sudah tidak mendapat pembaruan keamanan.
"Banyak (situs) yang masih (menggunakan) PHP 7 atau bahkan 5.6. Versi itu sudah tidak didukung lagi, jadi tidak akan pernah dapat tambalan. Itu bukan lagi soal bug, itu sual situs yang sudah lama tidak dirawat," tutur Pratama.
Kelompok pengelola inilah yang dinilainya paling berisiko. Ribuan situs pemda dan sekolah dikelola vendor kecil atau satu orang staf TI yang merangkap, sehingga kemungkinan besar belum mengetahui adanya kerentanan dan belum memperbarui sistemnya.
"Ribuan situs pemda dan sekolah dikelola vendor kecil atau bahkan satu orang staf TI yang merangkap. Kelompok inilah yang paling mungkin belum tahu dan paling mungkin belum memperbarui," ungkapnya.
Dampak: Pencurian Data, Bukan Sekadar Situs Down
Pratama menegaskan dampak celah keamanan PHP bukan hanya situs yang tiba-tiba tidak bisa diakses. Jika server berhasil disusupi, basis data di dalamnya ikut terancam, mulai dari nama, NIK, nomor telepon, kata sandi, hingga data transaksi.
Ia juga meluruskan kasus penonaktifan situs pemerintah di Eropa. Situs-situs itu tidak tumbang akibat serangan peretas, melainkan karena sejumlah lembaga memilih menonaktifkan layanan sementara sebagai langkah pencegahan untuk mengurangi risiko eksploitasi.
Kerentanan berada pada PHP, bukan pada WordPress atau plugin yang digunakan sebuah situs. Artinya, situs yang sudah dikelola dengan baik tetap berpotensi terdampak apabila server masih menjalankan PHP versi rentan dan belum diperbarui.
Layanan Publik Masih Normal
Dalam pemeriksaannya, Pratama mengecek sejumlah layanan publik yang biasa dipakai banyak orang. Hasilnya, pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id masih merespons normal.
"Saya cek beberapa layanan publik yang biasa dipakai banyak orang seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id. Semuanya masih merespons normal, tidak ada indikasi pemadaman," ungkapnya.
Pratama menyoroti peringatan keamanan resmi yang diterbitkan Badan Siber dan Sandi Negara (BSSN). Menurutnya, respons terhadap ancaman semacam ini tidak cukup hanya mengandalkan imbauan. Perlu pendataan terhadap situs dan server instansi yang masih memakai PHP versi rentan, terutama di lingkungan pemerintah daerah dan sekolah.
Langkah Mitigasi untuk Pengelola Situs
Pengelola situs diminta segera memeriksa sistem dan memasang pembaruan keamanan. Pratama menyarankan pembaruan PHP ke versi yang lebih baru, lalu memuat ulang agar pembaruan diterapkan dengan benar.
"Perlu diingat, Wordpress biasanya punya pembaruan otomatis, tapi PHP tidak. PHP ada di lapisan server, dan yang bertanggung jawab memperbarui adalah pengelola hosting atau admin server," ujarnya.
Jika pembaruan belum dapat dilakukan, akses server dari internet bisa dibatasi sementara untuk mengurangi risiko. Masyarakat umum juga diimbau tidak panik, tetapi tetap waspada.
Yang Perlu Dilakukan Pengguna Layanan Publik
Pratama mengimbau masyarakat tidak langsung membuka email atau pesan berisi tautan yang meminta login ulang ke layanan pemerintah. Pengguna juga perlu mencurigai layanan yang tiba-tiba meminta data tidak wajar, misalnya foto KTP dan selfie padahal tidak ada proses verifikasi.
Langkah berikutnya adalah memantau mutasi rekening dan email. Jika ada pemberitahuan perubahan kata sandi yang bukan dilakukan sendiri, pengguna diminta segera menggantinya.
Bagi industri, kasus ini menegaskan bahwa keamanan situs pemerintah dan sekolah tidak berhenti pada aplikasi atau CMS yang dipakai. Lapisan server, termasuk versi PHP yang sudah usang, menjadi titik lemah yang jarang tersentuh pembaruan rutin.
