NADIKABAR.COM — Pakar keamanan siber Pratama Pershada mengungkap risiko dari celah keamanan PHP yang membuat jutaan situs hampir di seluruh dunia tumbang beberapa waktu lalu. Menurutnya hal ini perlu diperhatikan oleh pengelola situs di Indonesia.

Sejauh ini belum ada kasus terkait celah keamanan kritis pada PHP di Indonesia. Namun, Pratama mengungkap risiko PHP utama di Indonesia bukan semata-mata kemungkinan terjadinya serangan secara massal, melainkan kesiapan pengelola sistem dalam mendeteksi dan memperbaiki kerentanan.

Menurut penjelasannya, PHP digunakan oleh banyak situs instansi pemerintah, pemerintah daerah, dan sekolah di Indonesia. Namun, sebagian di antaranya beroperasi masih menggunakan PHP versi lama yang tidak lagi mendapatkan dukungan pembaruan keamanan seperti PHP 7 atau bahkan PHP 5.6.

"Banyak (situs) yang masih (menggunakan) PHP 7 atau bahkan 5.6. Versi itu sudah tidak didukung lagi, jadi tidak akan pernah dapat tambalan. Itu bukan lagi soal bug, itu sual situs yang sudah lama tidak dirawat," tutur Pratama kepada NadiKabar.com, Jumat (23/10).

Ia turut mengungkap dampak celah keamanan PHP yang terhadap pengelola situs ialah bentuk pencurian data, bukan hanya situs web yang tiba-tiba tidak bisa diakses. Menurut Pratama, jika server berhasil disusupi, basis data yang tersimpan di dalamnya seperti nama, NIK, nomor telepon, kata sandi, data transaksi.

Sebelumnya, sejumlah situs pemerintah di Eropa dan beberapa wilayah tidak dapat diakses pada Rabu (21/10) setelah temuan celah keamanan kritis pada bahasa pemrograman PHP yang banyak digunakan untuk menjalankan situs web. Celah keamanan ini berhasil ditemukan baru-baru ini dengan bantuan kecerdasan buatan (AI).

Sejumlah lembaga pemerintah memilih menonaktifkan situs mereka sebagai langkah pencegahan setelah muncul peringatan bahwa peretas mulai mengeksploitasi celah keamanan tersebut.

Merespons masalah tersebut, Pratama menyebut ada dua hal yang perlu dibedakan dalam kasus penonaktifan sejumlah situs pemerintah di Eropa. Ia menegaskan situs-situs tersebut tidak tumbang akibat serangan peretas, melainkan karena sejumlah lembaga memilih untuk menonaktifkan layanan untuk sementara sebagai langkah pencegahan guna mengurangi risiko eksploitasi.

Kerentanan tersebut berada pada PHP, bukan pada Wordpress atau plugin yang digunakan sebuah situs. Hal ini berarti situs yang sudah dikelola dengan baik sekalipun tetap berpotensi terdampak apabila server masih menggunakan PHP versi rentan dan belum diperbarui.

Lebih lanjut, Pratama belum menemukan laporan resmi soal situs besar di Indonesia yang memilih mematikan layanannya karena masalah celah keamanan PHP hingga Jumat (23/10) pagi.

Dalam pemeriksaannya, sejumlah layanan seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id masih merespons secara normal.

"Saya cek beberapa layanan publik yang biasa dipakai banyak orang seperti pajak.go.id, dukcapil.kemendagri.go.id, dan bssn.go.id. Semuanya masih merespons normal, tidak ada indikasi pemadaman," ungkapnya.

Pratama turut menyoroti peringatan keamanan resmi yang diterbitkan oleh Badan Siber dan Sandi Negara (BSSN). Ia menilai respons terhadap ancaman semacam ini tidak cukup hanya mengandalkan imbauan.

Menurutnya, perlu adanya pendataan terhadap situs dan server instansi yang masih menggunakan bahasa pemrograman PHP versi rentan juga diperlukan, terutama di lingkungan pemerintah daerah dan sekolah.

Pasalnya, situs milik instansi-instansi tersebut dikelola oleh vendor kecil atau satu orang staf TI yang merangkap.

"Ribuan situs pemda dan sekolah dikelola vendor kecil atau bahkan satu orang staf TI yang merangkap. Kelompok inilah yang paling mungkin belum tahu dan paling mungkin belum memperbarui," ungkap Pratama.

Pakar mengingatkan bahwa masyarakat tidak perlu panik dalam menyikapi celah keamanan PHP ini, meski kewaspadaan tetap diperlukan. Bagi pengelola situs, kerentanan tersebut perlu segera ditangani dengan memeriksa sistem dan memasang pembaruan keamanan.

Pratama menyarankan pengelola situs untuk memperbarui bahasa pemrograman PHP ke versi yang lebih baru, lalu memuat ulang agar pembaruan diterapkan dengan benar. Jika pembaruan belum dapat dilakukan, akses server dari internet dapat dibatasi sementara untuk mengurangi risiko.

"Perlu diingat, Wordpress biasanya punya pembaruan otomatis, tapi PHP tidak. PHP ada di lapisan server, dan yang bertanggung jawab memperbarui adalah pengelola hosting atau admin server," ujarnya.

Sementara, bagi masyarakat umum, Pratama mengimbau untuk tidak langsung membuka email atau pesan yang berisi tautan yang meminta login ulang ke layanan pemerintah.

Kemudian, masyarakat perlu mencurigai jika layanan yang biasa dipakai tiba-tiba meminta data yang tidak wajar, misalnya foto KTP dan selfie, padahal tidak ada verifikasi.

Selanjutnya, masyarakat perlu memantau mutasi rekening dan email, jika ada pemberitahuan perubahan kata sandi yang bukan milik mereka, dan segera menggantinya.

"Ketiga, pantau mutasi rekening dan email. Kalau ada pemberitahuan perubahan kata sandi yang bukan dari Anda, segera ganti," tutup Pratama.