Kementerian Komunikasi dan Digital (Komdigi) meminta kementerian, lembaga, pemerintah daerah, serta penyelenggara sistem elektronik (PSE) lingkup publik memperketat pengamanan sistem digital. Peringatan ini merespons beredarnya informasi di media sosial mengenai ancaman serangan siber terhadap situs dan layanan pemerintah.
Informasi ancaman tersebut berkaitan dengan penolakan atas penerapan Sistem Pemungutan Pajak atas Transaksi Digital Luar Negeri (SPP-TDLN). Badan Siber dan Sandi Negara (BSSN) melalui Government Computer Security Incident Response Team (Gov-CSIRT) Indonesia menyatakan keaslian ancaman dan kemampuan pihak pengancam belum terverifikasi. Meski begitu, Direktur Strategi dan Kebijakan Teknologi Pemerintah Digital Komdigi Aries Kusdaryono menilai langkah antisipasi tetap wajib berjalan.
“Prioritas kita adalah menjaga keamanan dan keberlangsungan layanan digital pemerintah,” ujar Aries dalam keterangan resmi pada Selasa, 10 November 2026.
Tiga Surat Imbauan dan Jenis Serangan yang Diwaspadai
Menindaklanjuti Security Advisory BSSN pada 8 November 2026, Direktorat Jenderal Teknologi Pemerintah Digital Komdigi menerbitkan tiga surat imbauan pada 9 November 2026. Komdigi menujukan surat tersebut kepada tiga kelompok pengelola:
- Pengguna layanan Pusat Data Nasional 1 (PDN-1) dan Government Cloud.
- Pejabat nama domain kementerian, lembaga, dan pemerintah daerah.
- Seluruh PSE lingkup publik.
Komdigi menginstruksikan pengelola sistem untuk memeriksa celah keamanan, memantau trafik jaringan, memperkuat autentikasi akun administrator, memperbarui perangkat lunak, serta menyiapkan pencadangan data dan skema pemulihan layanan. Instansi pemerintah diminta mewaspadai potensi serangan Distributed Denial of Service (DDoS), perubahan tampilan situs (defacement), eksploitasi celah keamanan, pembajakan DNS, hingga phishing.
Temuan Vaksincom: 96,7 Persen Server Pakai PHP End of Life
Di tengah peringatan pemerintah, PT Vaksincom memaparkan hasil pemindaian server publik di Indonesia per 23 Oktober 2026. Vaksincom mendeteksi 2.072 host pada domain pemerintah (.go.id) dan berhasil membaca 1.677 versi PHP. Sebanyak 1.621 kecocokan versi atau 96,7 persen di antaranya masih menggunakan PHP versi End of Life (EOL) yang tidak lagi menerima pembaruan keamanan resmi.
Kondisi serupa terjadi pada domain perusahaan (.co.id). Dari 5.246 host yang terdeteksi dan 4.650 versi PHP yang terbaca, sebanyak 4.495 kecocokan versi atau 96,7 persen juga menjalankan PHP EOL.
Vaksincom turut memetakan paparan celah kritis PHP2Shell yang memungkinkan penyerang mengambil alih server lewat eksekusi kode jarak jauh (RCE) tanpa perlu login. Dari total 99.896 kecocokan versi PHP yang terdeteksi pada pemindaian tersebut, sebanyak 69.546 (69,6 persen) memakai versi EOL, sementara server yang telah memasang patch perbaikan baru mencapai 226 kecocokan (0,2 persen). Kendala kompatibilitas aplikasi lama (legacy system) untuk berpindah ke lingkungan PHP 8 disebut menjadi penghambat utama pembaruan.
Langkah Mitigasi bagi Admin IT dan Masyarakat
Untuk menekan risiko pengambilalihan server, Vaksincom merekomendasikan administrator teknologi informasi melakukan audit menyeluruh terhadap versi PHP di server organisasi, memperbarui perangkat lunak, serta membatasi paparan server publik menggunakan Web Application Firewall (WAF) atau VPN. Bagi masyarakat umum, Komdigi mengingatkan agar tidak mengeklik tautan mencurigakan atau menyerahkan kata sandi dan data pribadi melalui pesan maupun email yang mencatut nama instansi pemerintah dengan dalih isu pajak digital.