Pekan kedua November 2026 menjadi pekan siaga siber bagi instansi pemerintah Indonesia. Badan Siber dan Sandi Negara (BSSN) menerbitkan Security Advisory pada 8 November, disusul tiga surat imbauan dari Kementerian Komunikasi dan Digital (Komdigi) sehari kemudian. Pemicunya adalah ancaman serangan yang beredar di media sosial terhadap situs dan layanan pemerintah. Di saat yang sama, data pemindaian menunjukkan sebagian besar server pemerintah masih menjalankan versi PHP usang yang tidak lagi mendapat pembaruan keamanan, tepat setelah celah kritis “PHP2Shell” diumumkan.
Artikel ini merangkum apa yang terjadi, seberapa besar ancamannya, mengapa temuan soal PHP mengkhawatirkan, apa itu serangan berbasis agentic AI yang disorot Komdigi, dan langkah yang perlu diambil pengelola website, baik di pemerintahan maupun swasta.
Kronologi Singkat
| Tanggal | Peristiwa |
|---|---|
| 21 Oktober 2026 | PHP merilis pembaruan darurat 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 untuk menambal dua celah kritis yang dijuluki PHP2Shell |
| 22 Oktober 2026 | BSSN memperingatkan bahaya PHP2Shell dan meminta pengelola website segera bertindak |
| 23 Oktober 2026 | Pemindaian PT Vaksincom menemukan 96,7% server .go.id yang terdeteksi memakai PHP versi usang (EOL) |
| 8 November 2026 | BSSN (Gov-CSIRT Indonesia) menerbitkan Security Advisory terkait ancaman serangan ke situs pemerintah |
| 9 November 2026 | Komdigi menerbitkan tiga surat imbauan; FortiGuard Labs mencatat sekitar 1,6 juta aktivitas serangan ke Indonesia dalam 24 jam |
| 10 November 2026 | FortiGuard mencatat 2,2 juta percobaan serangan dalam 24 jam; Wamenkomdigi menyoroti serangan berbasis agentic AI; BSSN memaparkan langkah antisipasi |
Advisory BSSN dan Tiga Surat Imbauan Komdigi
Menurut Katadata, ancaman yang memicu advisory ini beredar di media sosial dan disebut-sebut sebagai bentuk penolakan terhadap penerapan SPP-TDLN, yaitu sistem pemungutan pajak atas transaksi digital luar negeri. Gov-CSIRT Indonesia di bawah BSSN menegaskan bahwa keaslian ancaman dan kemampuan pelakunya belum terverifikasi. Namun antisipasi tetap dinilai perlu.
Jenis serangan yang diwaspadai:
- DDoS: membanjiri server dengan lalu lintas sampai layanan tidak bisa diakses.
- Defacement: mengubah tampilan situs, biasanya untuk pesan protes atau pamer.
- Eksploitasi celah keamanan pada perangkat lunak yang belum diperbarui.
- Pembajakan DNS: mengalihkan nama domain ke server milik penyerang.
- Phishing dan penyebaran informasi palsu, termasuk yang mengatasnamakan instansi pemerintah.
Pada 9 November 2026, Direktorat Jenderal Teknologi Pemerintah Digital Komdigi menerbitkan tiga surat imbauan yang ditujukan kepada:
- Pengguna layanan Pusat Data Nasional (PDN-1) dan Government Cloud.
- Pejabat pengelola nama domain kementerian, lembaga, dan pemerintah daerah.
- Seluruh penyelenggara sistem elektronik (PSE) lingkup publik.
Isinya meminta penguatan keamanan sistem, pemantauan aktivitas jaringan, pemeriksaan kerentanan, serta kesiapan koordinasi dan penanganan insiden. “Kita tidak boleh mengabaikan potensi risiko ancaman serangan tersebut,” kata Direktur Strategi dan Kebijakan Teknologi Pemerintah Digital Komdigi, Aries Kusdaryono, seperti dikutip Katadata.
Rekomendasi teknis Komdigi untuk PSE meliputi:
- Memastikan tim tanggap insiden siap bekerja.
- Memperkuat autentikasi akun administrator.
- Memperbarui perangkat lunak.
- Meningkatkan perlindungan terhadap DDoS.
- Memastikan pencadangan data dan mekanisme pemulihan layanan berjalan baik.
Instansi pengguna PDN-1 dan Government Cloud dapat melaporkan insiden melalui PDN-CSIRT di csirtpdn.layanan.go.id.
Berapa Banyak Serangannya?
Angka yang beredar di media berbeda-beda, dari ratusan ribu hingga lebih dari dua juta. Perbedaan ini wajar karena angkanya diambil dari dasbor pemantauan pada waktu yang berbeda dan kadang hanya untuk sektor tertentu. Data yang paling banyak dikutip berasal dari FortiGuard Labs milik Fortinet:
| Periode (24 jam hingga) | Total aktivitas serangan | Rincian | Dikutip oleh |
|---|---|---|---|
| 9 November 2026 | Sekitar 1,6 juta | Perbankan, keuangan, dan asuransi sekitar 761 ribu; teknologi sekitar 386 ribu; pemerintahan sekitar 121 ribu | RRI, Fortune IDN |
| 10 November 2026, pukul 07.30 | 2,2 juta percobaan | Rata-rata 26 percobaan per detik, tertinggi di Asia Tenggara; sektor keuangan sekitar 1 juta | Katadata |
Perlu dicatat, angka FortiGuard berasal dari perangkat keamanan Fortinet dan mencatat percobaan serangan, bukan serangan yang berhasil. BSSN juga menegaskan data ini belum menggambarkan seluruh kejadian. Meski begitu, tren ini menunjukkan sektor keuangan menjadi sasaran utama, disusul sektor teknologi dan pemerintahan.
Langkah BSSN
Juru Bicara BSSN, Prabaswari, menyebut BSSN terus meningkatkan kesiapsiagaan. Beberapa langkah yang dipaparkan:
- Membentuk 151 Tim Tanggap Insiden Siber (TTIS) di sektor keuangan.
- Mengirim 202 notifikasi potensi ancaman ke organisasi sektor keuangan yang berpotensi terdampak.
- Menerbitkan 208 dokumen imbauan keamanan sepanjang 2026, termasuk soal ancaman AI.
- Melatih tenaga keamanan siber lewat tabletop exercise dan simulasi.
- Menggelar apel TTIS sektor keuangan yang diikuti lebih dari 1.000 peserta.
Temuan yang Mengkhawatirkan: 96,7% Server .go.id Pakai PHP Usang
Kekhawatiran terbesar justru datang dari kondisi server itu sendiri. PHP adalah bahasa pemrograman yang menjalankan sebagian besar website di dunia, termasuk WordPress, Joomla, Drupal, dan banyak aplikasi pemerintah. Setiap versi PHP punya masa dukungan. Setelah lewat, versi itu berstatus End of Life (EOL) dan tidak lagi mendapat tambalan keamanan.
Pemindaian PT Vaksincom per 23 Oktober 2026, seperti dilaporkan Katadata, menemukan:
| Domain | Host terdeteksi | Versi PHP terbaca | Memakai PHP EOL |
|---|---|---|---|
| .go.id (pemerintah) | 2.072 | 1.677 | 1.621 (96,7%) |
| .co.id (perusahaan) | 5.246 | 4.650 | 4.495 (96,7%) |
| Seluruh pemindaian | 99.896 kecocokan versi | 69.546 (69,6%); hanya 226 (0,2%) yang sudah ditambal | |
Versi yang paling banyak ditemukan adalah PHP 5.6.40, yang dukungan keamanannya sudah berakhir sejak akhir 2018. Artinya, banyak server pemerintah menjalankan perangkat lunak yang tidak mendapat tambalan keamanan selama hampir delapan tahun.
Vaksincom menegaskan bahwa memakai PHP EOL tidak otomatis berarti server sudah diretas. Kendala utamanya adalah aplikasi lama (legacy) yang perlu dirombak kodenya agar bisa berjalan di PHP 8. Namun dari sisi keamanan, server seperti ini adalah sasaran empuk.
Apa itu PHP2Shell?
Temuan Vaksincom menjadi lebih serius karena muncul tepat setelah PHP2Shell diumumkan. Pada 21 Oktober 2026, tim PHP merilis pembaruan darurat untuk dua celah kritis:
| CVE | Penjelasan singkat |
|---|---|
| CVE-2026-109618 | Kesalahan penanganan kondisi kehabisan memori (out-of-memory) yang bisa merusak memori dan berujung eksekusi kode jarak jauh |
| CVE-2026-109619 | Data internal dari permintaan sebelumnya masih dipakai setelah memorinya dibebaskan, juga bisa berujung eksekusi kode jarak jauh |
Menurut Help Net Security, semua instalasi PHP yang melayani permintaan web terdampak, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Satu permintaan tanpa login bisa memicu serangan bahkan sebelum kode aplikasi berjalan. Amazon Threat Intelligence melaporkan percobaan eksploitasi sudah terdeteksi di honeypot mereka pada 17 Oktober, empat hari sebelum celah diumumkan.
Versi yang sudah aman adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 atau yang lebih baru. PHP 8.1 ke bawah sudah tidak didukung resmi. Tim keamanan PHP hanya merilis tambalan minimal dalam bentuk kode sumber untuk PHP 7.4, 8.0, dan 8.1. Untuk PHP 5.6 yang paling banyak ditemukan di server pemerintah, tidak ada tambalan resmi sama sekali.
BSSN sudah memperingatkan bahaya PHP2Shell sejak 22 Oktober, dan Komdigi menyatakan berkoordinasi dengan BSSN soal celah ini. Dengan ancaman serangan yang kini beredar, server PHP usang menjadi pintu masuk paling mudah.
Agentic AI: Model Serangan Baru
Wakil Menteri Komdigi, Nezar Patria, menyoroti serangan siber yang memakai agentic AI, yaitu sistem AI yang bisa mengambil keputusan dan menjalankan rangkaian tindakan secara mandiri. “Ini suatu hal yang baru dan butuh risk management sendiri,” ujarnya di Cikarang, 10 November 2026, seperti dikutip Katadata.
Berbeda dengan alat serangan otomatis biasa yang hanya menjalankan skrip tetap, agen AI bisa:
- Memindai ribuan situs untuk mencari versi perangkat lunak yang rentan, seperti PHP usang.
- Memilih dan menyesuaikan teknik serangan berdasarkan apa yang ditemukan.
- Mencoba ulang dengan cara lain saat satu cara gagal, tanpa campur tangan manusia.
- Bekerja nonstop dan dalam skala besar dengan biaya murah.
Kombinasi agen AI dan ribuan server PHP usang adalah skenario yang mengkhawatirkan: pekerjaan yang dulu butuh tim peretas kini bisa diotomatisasi. Nezar menilai sektor keuangan, kesehatan, dan riset strategis perlu manajemen risiko khusus, salah satunya lewat sandboxing. BSSN disebut sudah melakukan simulasi antisipasi.
Sebagai gambaran dampaknya, Katadata mengutip Yonhap soal serangan yang diduga memakai AI di Korea Selatan yang membocorkan sekitar 437.000 data nasabah di sejumlah bank besar seperti Shinhan Bank, KB Kookmin Bank, Hana Bank, dan Woori Bank.
Langkah untuk Pengelola Website
Imbauan Komdigi ditujukan ke instansi pemerintah, tetapi temuan Vaksincom menunjukkan situs perusahaan (.co.id) sama rentannya. Berikut langkah praktis yang bisa dilakukan sekarang.
1. Cek versi PHP
Di server:
php -v
Untuk WordPress, buka Tools > Site Health > Info > Server di dasbor admin. Di hosting dengan cPanel, cek lewat menu “Select PHP Version” atau “MultiPHP Manager”. Pastikan versinya minimal 8.2.35, 8.3.36, 8.4.27, atau 8.5.12. Jika masih 8.1 ke bawah, apalagi 7.x atau 5.6, segera rencanakan migrasi.
2. Perbarui dan restart
- Server Linux: perbarui paket PHP dari distribusi (
apt upgradeataudnf update), lalu restart PHP-FPM atau Apache. - Shared hosting: pilih versi PHP terbaru dari panel, atau hubungi penyedia hosting.
- Docker: tarik ulang image (
docker compose pull) dan buat ulang container.
3. Jika belum bisa diperbarui
- Pasang Web Application Firewall (WAF). Cloudflare, misalnya, sudah menyediakan aturan WAF untuk vektor PHP2Shell yang dikenal, termasuk untuk paket gratis.
- Batasi akses ke aplikasi internal hanya lewat VPN.
- Matikan layanan atau situs lama yang tidak lagi dipakai. Pusat keamanan siber Inggris (NCSC) bahkan menyarankan sistem yang tidak bisa segera diperbaiki untuk dimatikan sementara.
4. Perkuat dasar-dasar keamanan
- Aktifkan autentikasi dua faktor untuk semua akun admin, termasuk panel hosting dan registrar domain.
- Kunci domain di registrar (registrar lock) dan aktifkan DNSSEC jika tersedia untuk mencegah pembajakan DNS.
- Gunakan layanan proteksi DDoS atau CDN.
- Siapkan cadangan (backup) yang disimpan terpisah dan uji pemulihannya secara berkala.
- Pantau log akses dan perubahan file untuk mendeteksi defacement atau web shell sejak dini.
5. Untuk masyarakat umum
Komdigi mengimbau masyarakat waspada terhadap email, pesan, dan tautan yang mengatasnamakan instansi pemerintah, terutama yang memakai isu pajak digital. Jangan memberikan kata sandi atau data pribadi lewat kanal yang belum jelas keasliannya, dan akses layanan pemerintah hanya melalui alamat situs resmi.
Kesimpulan
Ancaman yang memicu siaga siber pekan ini belum terverifikasi, dan angka serangan yang beredar perlu dibaca dengan hati-hati. Namun masalah yang terungkap di baliknya nyata dan sudah lama: mayoritas server pemerintah dan perusahaan yang terdeteksi menjalankan PHP usang, sebagian bahkan versi yang tidak ditambal sejak 2018, tepat ketika celah kritis PHP2Shell sudah dieksploitasi dan agen AI membuat pemindaian massal semakin murah.
Advisory dan surat imbauan hanya efektif jika ditindaklanjuti. Pekerjaan rumah terbesarnya bukan menangkal satu gelombang serangan, melainkan memperbarui fondasi: perangkat lunak yang didukung, akun admin yang terlindungi, dan cadangan yang siap dipulihkan.
Butuh bantuan memeriksa versi PHP, memperbarui server, atau mengamankan website WordPress Anda? Konsultasikan dengan tim kami lewat WhatsApp.
Sumber
- Komdigi Terbitkan Tiga Surat Imbauan Antisipasi Serangan Hacker ke Pemerintah (Katadata)
- Komdigi Minta Instansi Pemerintah Waspada Ancaman Serangan Hacker (Katadata)
- BSSN Perkuat Antisipasi Hadapi Peningkatan Ancaman Serangan Siber (RRI)
- Komdigi dan BSSN Siapkan Langkah Atasi Serangan Siber Meningkat (Fortune IDN)
- BSSN Peringatkan Bahaya Celah PHP2Shell, Pengelola Website Diminta Bertindak (Kompas.com)
- Komdigi Berkoordinasi dengan BSSN soal Celah Kritis PHP (Kompas.com)
- PHP2Shell PHP vulnerabilities patched (Help Net Security)
- PHP 8 ChangeLog (php.net)
- Supported Versions (php.net)