Daftar Isi
Pakar keamanan siber Pratama Pershada mengungkapkan risiko dari celah keamanan PHP yang sempat melumpuhkan jutaan situs di berbagai belahan dunia. Menurutnya, persoalan ini harus dicermati secara serius oleh para pengelola situs di Indonesia.
Ancaman Versi Lama dan Pencurian Data
Meski belum ditemukan kasus terkait celah keamanan kritis pada PHP di Indonesia, Pratama menjelaskan kepada CNN Indonesia bahwa risiko utamanya bukan pada serangan massal, melainkan tingkat kesiapan pengelola sistem dalam mendeteksi serta memperbaiki kerentanan tersebut.
Ia membeberkan bahwa banyak situs instansi pemerintah, pemerintah daerah, dan sekolah di Indonesia yang masih beroperasi menggunakan PHP versi lama, seperti PHP 7 atau PHP 5.6, yang sudah tidak lagi mendapatkan dukungan pembaruan keamanan.
“Banyak (situs) yang masih (menggunakan) PHP 7 atau bahkan 5.6. Versi itu sudah tidak didukung lagi, jadi tidak akan pernah dapat tambalan. Itu bukan lagi soal bug, itu sual situs yang sudah lama tidak dirawat,” tutur Pratama kepada CNN Indonesia, Jumat (23/10).
Pratama juga menyoroti dampak nyata dari kerentanan ini, di mana risiko utamanya adalah pencurian data alih-alih sekadar situs yang tidak bisa diakses. Apabila server berhasil disusupi, basis data penting seperti nama, NIK, nomor telepon, kata sandi, hingga data transaksi terancam bocor.
Respons Internasional dan Kondisi Layanan Publik
Sebelumnya, sejumlah situs pemerintah di Eropa dan beberapa wilayah dilaporkan lumpuh pada Rabu (21/10) menyusul temuan celah keamanan kritis pada bahasa pemrograman PHP yang dideteksi dengan bantuan kecerdasan buatan. Sejumlah lembaga kemudian memilih menonaktifkan situs mereka sebagai langkah pencegahan setelah peretas mulai mengeksploitasi kerentanan tersebut.
Pratama meluruskan bahwa situs-situs di Eropa tersebut tidak tumbang akibat serangan peretas secara langsung, melainkan sengaja dimatikan sementara oleh lembaganya guna mengurangi risiko. Ia menambahkan bahwa kerentanan ini berada pada lapisan PHP, bukan pada platform WordPress atau plugin, sehingga situs yang dikelola dengan baik pun tetap berisiko jika servernya masih memakai PHP versi lama.
Hingga Jumat (23/10) pagi, Pratama menyatakan belum ada laporan resmi mengenai situs besar di Indonesia yang mematikan layanan akibat masalah ini. Berdasarkan pemeriksaannya, sejumlah layanan publik seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id masih terpantau merespons secara normal tanpa indikasi pemadaman.
Mitigasi dan Imbauan untuk Pengelola serta Publik
Lebih lanjut, Pratama menilai peringatan keamanan resmi dari Badan Siber dan Sandi Negara tidak cukup hanya direspon lewat imbauan semata. Pendataan menyeluruh terhadap server instansi, terutama di lingkup pemda dan sekolah yang dikelola oleh vendor kecil atau staf TI tunggal, sangat diperlukan karena kelompok inilah yang paling mungkin belum memperbarui sistem mereka.
Bagi pengelola situs, Pratama menyarankan untuk segera memutakhirkan PHP ke versi terbaru dan memuat ulang sistem. Jika pembaruan belum dapat dilakukan, akses server dari internet dapat dibatasi sementara.
“Perlu diingat, WordPress biasanya punya pembaruan otomatis, tapi PHP tidak. PHP ada di lapisan server, dan yang bertanggung jawab memperbarui adalah pengelola hosting atau admin server,” ujarnya kepada CNN Indonesia.
Sementara itu, masyarakat diimbau agar tetap waspada namun tidak panik. Publik diminta untuk tidak sembarangan mengeklik tautan dalam email yang meminta login ulang ke layanan pemerintah, serta mencurigai permintaan data tidak wajar seperti foto KTP dan swafoto tanpa verifikasi.
“Ketiga, pantau mutasi rekening dan email. Kalau ada pemberitahuan perubahan kata sandi yang bukan dari Anda, segera ganti,” tutup Pratama.
