Sudiyatmiko Aribowo
Pada Rabu, 21 Oktober 2026, dua fondasi teknologi web dunia sama-sama menambal kerentanan serius. PHP merilis versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 untuk menutup CVE-2026-109618 dan CVE-2026-109619, dua celah di inti mesin yang memungkinkan eksekusi kode jarak jauh tanpa kata sandi, dengan skor CVSS 4.0 sebesar 9,2 (detikInet, 2026). Pada hari yang sama, Node.js merilis versi 22.23.4, 24.22.1, dan 26.12.1 untuk memperbaiki sepuluh kerentanan, empat di antaranya berkategori tinggi, termasuk cacat pada dekoder Brotli (CVE-2026-111497) yang digambarkan dapat berujung pada eksekusi kode (Cybersecurity News, 2026). Meski demikian, perlu digarisbawahi bahwa kata “pembobolan”, yang ramai beredar di media sosial, belum tepat untuk menggambarkan keduanya. Kerentanan adalah pintu yang tidak terkunci, sedangkan pembobolan adalah pencuri yang sudah masuk. Untuk PHP, Cloudflare mengonfirmasi lalu lintas serangan yang menyasar kedua celah itu, dan informasinya bocor sebelum pengumuman resmi. Untuk Node.js, saya belum menemukan laporan eksploitasi. Skala korban nyata di kedua kasus belum dapat dipastikan. Censys, sebagaimana dilaporkan Kompas.com (2026), menemukan sekitar 1,5 juta dari 2,6 juta host yang menjalankan PHP belum memperoleh perbaikan, angka yang menggambarkan potensi paparan, bukan jumlah situs yang dipastikan disusupi. Perbedaan status ini penting agar kita tidak jatuh pada kepanikan maupun sikap menyepelekan.
Mengapa Indonesia harus menjadi perhatian serius dalam urusan ini? Karena kita tinggal di ekosistem yang sangat bergantung pada teknologi tersebut. Berdasarkan data W3Techs, sebagaimana dikutip Kompas.com (2026), PHP digunakan sekitar 70 persen situs yang bahasa sisi servernya dapat diidentifikasi, dan menjadi fondasi WordPress, Drupal, Joomla, hingga MediaWiki yang menjalankan Wikipedia. WordPress sendiri menggerakkan sekitar 43,5 persen seluruh situs di dunia (ZenRows, 2025). Angka itu global, tetapi sulit dibayangkan Indonesia berada di luar pola tersebut. Portal pemerintah daerah, situs perguruan tinggi, layanan perizinan, hingga laman instansi pusat secara umum bertumpu pada WordPress, Laravel, atau sistem informasi berbasis PHP buatan vendor. Tak kalah serius, celah kali ini berada di mesin PHP itu sendiri. Artinya, aplikasi yang kodenya ditulis rapi pun tetap dapat terdampak, dengan risiko tertinggi pada konfigurasi Apache yang memakai mod_php, karena serangan dapat dipicu bahkan sebelum kode aplikasi dijalankan (Kompas.com, 2026). Pengelola yang selama ini merasa aman karena “aplikasi kami sudah diaudit” perlu menyadari bahwa audit kode tidak menambal runtime.
Indonesia dalam Siklus 30 Tahunan
Persoalan semacam ini bukan hal baru bagi tata kelola siber kita. Juru bicara BSSN, Anton Setiawan (2021), pernah menjelaskan bahwa situs pemerintah rentan diretas karena aplikasinya jarang diperbarui, perimeter keamanan seperti web application firewall tidak tersedia, dan penanganan insiden kerap berhenti sebelum tuntas sehingga peretasan berulang (CNN Indonesia, 2021). Data BSSN pada Januari Oktober 2021 menunjukkan insiden web defacement menimpa pemerintah daerah sebesar 17,57 persen dan pemerintah pusat 9,2 persen, di samping sektor akademik yang mencapai 36,66 persen. Lima tahun berselang, pertanyaannya sederhana namun menohok: apakah kebiasaan menunda pembaruan itu sudah berubah, atau hanya berganti kemasan? Di baliknya terdapat kenyataan bahwa kerentanan paling berbahaya hampir selalu yang diketahui semua orang, tetapi tidak ditambal oleh pemiliknya.
Node.js menghadirkan karakter risiko yang berbeda. Menurut buletin Vercel (2026), cacat Brotli dapat dipicu ketika proses Node.js mendekode data yang dikendalikan penyerang, baik berupa isi permintaan maupun respons dari server lain yang diambil aplikasi, dan peneliti telah memperagakan pembocoran memori serta eksekusi perintah. Cabang 20.x sudah habis masa dukungannya dan tidak akan menerima perbaikan. Hal serupa berlaku pada PHP: versi 8.1 ke bawah tidak lagi menerima pembaruan keamanan langsung dari proyek PHP, dan dukungan PHP 8.2 berakhir pada 31 Desember 2026 (Kompas.com, 2026). Dalam konteks ini, Node.js hadir di lapisan yang jarang disorot publik: gerbang API, backend aplikasi seluler layanan publik, dan perangkat bantu pengembangan. Versi usang sering bertahan karena aplikasi warisan vendor yang kontraknya sudah lama selesai. Di sinilah pedang bermata dua teknologi sumber terbuka terlihat jelas. Ia menurunkan biaya membangun layanan, tetapi memindahkan tanggung jawab pemeliharaan sepenuhnya kepada pengguna. WAF membantu menahan percobaan serangan, meski detikInet maupun Vercel sama-sama menegaskan bahwa WAF bukan pengganti patch.
Apa yang sesungguhnya dipertaruhkan? Eksekusi kode jarak jauh pada server web bukan sekadar perubahan tampilan laman. Ia adalah pijakan awal menuju basis data, kredensial, kunci API, dan jaringan internal yang terhubung. Bagi infrastruktur publik yang menyimpan data pajak, kependudukan, kesehatan, dan perizinan, satu server yang terlambat ditambal dapat menjadi titik masuk bagi insiden yang jauh lebih luas. Respons di Eropa menunjukkan betapa lintas sektor risiko ini dibaca. Reuters, sebagaimana dirangkum Kompas.com (2026), melaporkan situs dan layanan publik di Belanda, Denmark, Finlandia, dan Perancis dinonaktifkan atau ditempatkan dalam pemeliharaan preventif, mulai dari Overheid.nl, platform komunikasi sekolah nasional Denmark yang dikelola Kombit, jaringan publik pemerintah Finlandia oleh Valtori, hingga situs Kementerian Dalam Negeri Perancis, bahkan sejumlah rumah sakit. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi menempatkan tanggung jawab pada pengendali data, sedangkan Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital menuntut penyelenggara sektor strategis menjaga ketahanan sistemnya. Pada titik ini, menunda patch bukan lagi kelalaian teknis semata. Ia berpotensi menjadi pelanggaran kewajiban hukum.
Bagaimana negara lain merespons? Menurut detikInet (2026), Perdana Menteri Jepang Sanae Takaichi meminta pengelola situs segera memeriksa penggunaan PHP serta menghentikan sementara situs yang sulit ditambal cepat, sementara situs pemerintah Jerman turut dinonaktifkan. Kompas.com (2026) menegaskan bahwa penonaktifan itu tidak otomatis berarti layanan telah diretas, melainkan langkah pencegahan sembari risiko dinilai. Sampai tulisan ini disusun pada 22 Oktober 2026, saya belum menemukan imbauan resmi BSSN yang spesifik, dan tidak ada laporan dampak pada situs pemerintah Indonesia. Ketiadaan berita bukan bukti ketiadaan masalah. Bisa jadi pengelola sudah bergerak senyap, bisa jadi belum menyadari. Karena itu, sulit menilai kesiapan kita bila instansi sendiri tidak memiliki inventaris aset digital yang menjawab pertanyaan paling dasar: server mana menjalankan PHP versi berapa, dan siapa yang berwenang memutuskan untuk mematikannya.
Meski demikian, keputusan menonaktifkan layanan juga pedang bermata dua. Menutup portal menyelamatkan data, tetapi mengganggu warga yang membutuhkan layanan. Kerangka MIKO yang dirumuskan Aribowo (2025), yakni mitigasi, inklusi, kolaborasi, dan organisasi, relevan dipinjam di sini. Mitigasi berarti bertindak dalam hitungan hari: memetakan seluruh aset PHP dan Node.js, menambal sistem yang terhubung ke internet lebih dahulu, memasang WAF sebagai penahan sementara, memeriksa log dari 20 Oktober, dan merotasi kredensial bila ada indikasi kompromi. Kolaborasi berarti pemerintah pusat, daerah, penyedia hosting, dan vendor aplikasi bergerak serempak di bawah koordinasi BSSN, sebab pemerintah kabupaten yang tidak punya tim TI tidak mungkin menghadapi ini sendirian. Organisasi berarti kejelasan rantai komando: siapa memiliki, siapa mengesahkan waktu henti, siapa melapor. Inklusi mengingatkan bahwa layanan bagi warga yang paling bergantung pada kanal digital tidak boleh dikorbankan tanpa jalur alternatif.
Sesungguhnya, dua celah ini bukan sekadar cerita tentang kode. Ia adalah ujian kedisiplinan negara dalam merawat apa yang sudah dibangunnya. Ada pula lapisan baru yang tak dapat dipandang sebelah mata: menurut Kompas.com (2026), mengutip TechCrunch, kedua celah ini ditemukan dengan bantuan kecerdasan buatan, oleh Calif dan secara independen oleh Wiz. Penemuan semacam itu mempersingkat jarak antara temuan dan eksploitasi, sebab penyerang pun dapat memakai AI untuk mempelajari tambalan. Tambalan sudah tersedia; yang belum tentu tersedia adalah kemauan organisasi untuk memasangnya dengan cepat dan mencatatnya dengan jujur. Pelajaran dari 21 Oktober akan lebih mahal bila baru kita pahami setelah ada korban. Sebab dalam keamanan siber, selisih antara aman dan terbobol sering kali hanyalah satu pembaruan yang ditunda.
Referensi
Aribowo, S. (2025). Mitigasi Pandemi dan Bencana Alam Masa Depan. Medan: UMSU Press.
CNN Indonesia. (2021, 22 November). BSSN Ungkap Sebab Situs Pemerintah Rentan Diretas. Jakarta: CNN Indonesia.
Cybersecurity News. (2026, Oktober). Node.js Releases Security Updates to Fix High-Severity TLS, DNS, and Brotli Vulnerabilities.
detikInet. (2026, 22 Oktober). Dua Celah Kritis PHP Ancam Keamanan Website di Seluruh Dunia. Jakarta: detikcom.
detikInet. (2026, 22 Oktober). Patch PHP2Shell Sudah Terbit, Ini Versi Aman dan Cara Update. Jakarta: detikcom.
Kompas.com. (2026, 22 Oktober). Celah Kritis PHP Picu Situasi Darurat, Website Pemerintah hingga Rumah Sakit (KompasTekno, merangkum Reuters dan TechCrunch). Jakarta: Kompas Cyber Media. https://tekno.kompas.com/read/2026/10/22/08010027/celah-kritis-php-picu-situasi-darurat-website-pemerintah-hingga-rumah-sakit
Peraturan Presiden Republik Indonesia Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital.
Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
Vercel. (2026). Node.js Security Advisory: Brotli Decoder RCE (CVE-2026-111497). Vercel Knowledge Base.
ZenRows. (2025). PHP Usage Statistics and Popularity (mengutip W3Techs). ZenRows.
