71 situs .go.id terbuka untuk diambil alih?
Celah PHP2Shell ditemukan dengan bantuan AI. Five Eyes meminta patch segera, atau matikan sistemnya. Di Indonesia, 71 domain pemerintah disebut rentan atau tak terverifikasi. Seberapa siap kita?
Pada 21 Oktober 2026, NSA, CISA, FBI, dan mitra Five Eyes ditambah Belanda mengeluarkan peringatan bersama yang nadanya jarang setegas ini. Dua celah kritis di PHP, bahasa pemrograman yang dipakai sekitar 70% situs dunia, memungkinkan penyerang menjalankan kode di server tanpa perlu login. Instruksinya hanya dua pilihan: patch segera, atau matikan sistemnya dulu.
Dua hari kemudian, peringatan itu sampai di Jakarta. BSSN mengingatkan dampaknya, dan CISSReC merilis daftar 71 domain .go.id yang disebut rentan atau tidak dapat diverifikasi status patch-nya.
Dua celah, satu nama: PHP2Shell
CVE-2026-109618 dan CVE-2026-109619 adalah celah remote code execution tanpa autentikasi. Artinya, penyerang tidak perlu kata sandi atau akun untuk mengambil alih server yang belum ditambal. Ada dua detail yang membuat kasus ini berbeda: celahnya ditemukan dengan tool AI milik OpenAI, dan embargonya bocor lebih awal, sehingga waktu bagi pengelola sistem untuk menambal ikut menyempit.
Instruksi Five Eyes: versi aman minimum
Advisori CISA dan NSA menetapkan versi minimum yang dianggap aman untuk setiap cabang PHP yang masih dipakai. Sistem yang belum bisa diperbarui diminta diturunkan sementara.
Dari Washington ke Jakarta
"Rentan" belum tentu "dibobol"
Angka 71 mudah dibaca sebagai 71 situs yang sudah jebol. Itu keliru. Daftar CISSReC mencampur situs yang rentan dengan situs yang tidak bisa diverifikasi status patch-nya. Dalam penelusuran Strat4Policy selama 17–24 Oktober, belum ada laporan terkonfirmasi intrusi spionase ke lembaga RI melalui celah ini.
Tetapi kabar baik itu tidak boleh menenangkan terlalu lama. Ketika celah ditemukan dengan bantuan AI dan detailnya beredar lebih cepat dari jadwal, jendela antara pengumuman dan eksploitasi menyempit. Ukuran kesiapan siber instansi kini bukan lagi apakah mereka tahu, melainkan seberapa cepat mereka bergerak.
Tiga langkah yang bisa diambil sekarang
Tenggat patch yang mengikat
Inventaris server PHP di setiap instansi, dengan tenggat dan pelaporan status ke BSSN, bukan sekadar imbauan.
Aturan "matikan dulu"
Layanan yang belum bisa di-patch diturunkan sementara, mengikuti logika advisori Five Eyes, dengan pemberitahuan ke publik.
Transparansi pasca-insiden
Publikasi berkala jumlah domain yang sudah aman, agar daftar seperti milik CISSReC bisa diverifikasi ulang.
Ringkasan visual dari @strat4policy
- CISA, "Critical Vulnerabilities in PHP Require Immediate Patching" (21/10/2026)
- NSA Advisory: "Critical Patches Recommended for PHP Vulnerabilities" (21/10/2026)
- Politico, PHP cyber vulnerability & OpenAI warning (21/10/2026)
- CNN Indonesia, "Bikin Tumbang Situs, BSSN Peringatkan Dampak Celah Keamanan PHP" (23/10/2026)
- Katadata, "71 Situs Pemerintah Indonesia Disebut Rentan PHP2Shell, Ini Daftarnya" (23/10/2026); Bisnis.com/CISSReC (23/10/2026)
Foto ilustrasi (diolah): Microbiz Mag (CC BY 2.0); BalticServers.com (CC BY-SA 3.0); David Whelan (CC0); geirt.com/Flickr (CC BY 2.0); Trevor Paglen (CC0); Bagus Ghufron (CC0); USAF/M.Sgt. Renae Pittman (domain publik); subcircle/Flickr (CC BY 2.0).
