Imbas PHP2Shell: Ribuan Situs RI Terancam, Termasuk Situs Kemenperin

Uzone.id — Dampak dari krentanan yang ditemukan dalam bahasa pemograman PHP masih terus berlanjut. Bahkan, situs-situs Indonesia pun ikut terdampak akibat adanya celah dengan kode CVE-2026-109618 dan CVE-2026-109619. 

Sebagai informasi, keduanya mendapat skor 9,2 dari 10 dalam penilaian tingkat keparahan kerentanan, atau masuk kategori kritis.

Dalam laporan terbaru yang dibagikan oleh Alfons Tanujaya, pakar siber dari Vaksincom, mengungkap bahwa terdapat 89.193 host PHP terdeteksi di server Indonesia.

“Berdasarkan hasil pemindaian komprehensif terhadap server di Indonesia yang terhubung langsung ke internet per 23 Oktober 2026, Vaksincom mencatat sebanyak 89.193 host PHP terdeteksi aktif,” kata Alfons dalam keterangan resmi yang diterima Uzone.id, Senin, (26/10).

Dari angka tersebut, sebanyak 69,6 persen situs mendukung versi PHP yang sudah  End-of-Life sehingga tidak ada patch resmi untuk celah PHP2Shell.

Sementara itu, hanya 226 situs saja atau sekitar 0,2 persen saja yang sudah dibekali dengan versi perbaikan.

Dari sekian banyak situs yang terdeteksi, Alfons menjelaskan bahwa ada sekitar 2.072 situs pemerintah dengan domain go.id dan 5.246 situs perusahaan co.id menjadi situs yang paling banyak dan paling sulit karena menggunakan PHP end-of-Life.

Di sisi lain, seorang programmer Tjandra Aji melalui akun Threads miliknya @cchhaannddraa, menyebut ada 304 situs pemerintahan dengan domain go.id yang menggunakan PHP. 

“Gue coba mengambil sampel 2000 situs pemerintahan dengan domain .go id, ada 304 situs yang menggunakan PHP, dan cuma 2 situs yang sudah menggunakan versi terbaru,” kata akun tersebut.

Tidak disebutkan situs pemerintahan mana saja yang rentan akan celah ini, tapi salah satu yang sudah bertindak bahkan sempat menonaktifkan situs adalah Kementerian Perindustrian RI (Kemenperin).

Dalam pengumuman yang dibagikan oleh akun Instagram resminya @kemenperin_ri, penonaktifkan ini dilakukan sebagai langkah mitigasi risiko keamanan siber terkait kerentanan PHP2Shell.

“Sobat Industri, dalam rangka mitigasi risiko keamanan siber terkait kerentanan PHP2Shell, Kemenperin akan melakukan penonaktifan sementara layanan SIINas, website Kemenperin, dan seluruh domain kemenperin.go.id,” tulis pengumuman di akun tersebut.

Penonaktifkan dilakukan selama tiga hari, yakni dari 22 Oktober 2026 pukul 22.00 WIB hingga 25 Oktober 2026.

Namun, dari pantauan Uzone pada Senin, (26/10), beberapa situs Kemenperin tersebut masih tidak bisa diakses, salah satunya situs SIINas (Sistem Informasi Industri Nasional) Kemenperin yang masih belum bisa diakses oleh pengguna di RI.