Kementerian Perindustrian (Kemenperin) menonaktifkan sementara sejumlah layanan digitalnya, termasuk situs Tingkat Komponen Dalam Negeri (TKDN). Penyebabnya: ancaman serangan siber PHP2Shell, nama untuk dua celah keamanan kritis pada bahasa pemrograman PHP. Penonaktifan dimulai Kamis (22/10/2026) pukul 22.00 WIB dan dijadwalkan berlangsung hingga Minggu (25/10/2026).
Sampai Sabtu (24/10/2026), situs TKDN di alamat tkdn.kemenperin.go.id masih belum bisa diakses dan menampilkan pesan "This site can't be reached". Berikut lima fakta yang perlu diketahui, dirangkum dari pengumuman Kemenperin, peringatan Badan Siber dan Sandi Negara (BSSN), dan laporan Selular.ID.
1. Yang Mati Bukan Cuma Situs TKDN
Layanan yang terdampak meliputi Sistem Informasi Industri Nasional (SIINas), situs resmi Kemenperin, situs TKDN, serta seluruh domain kemenperin.go.id. Kemenperin menyebut langkah ini sebagai mitigasi risiko keamanan siber, diumumkan lewat akun media sosial resminya.
Penting dicatat: penonaktifan ini tidak otomatis berarti sistem Kemenperin sudah berhasil diretas. Mematikan layanan sementara adalah prosedur pencegahan yang lazim dilakukan saat pengelola memeriksa keamanan sistem dan memasang pembaruan, sebelum celah sempat dieksploitasi.
2. PHP2Shell Itu Dua Celah, Bukan Satu
PHP2Shell merujuk pada dua kerentanan kritis pada PHP dengan identitas CVE-2026-109618 dan CVE-2026-109619. Menurut laporan yang beredar, keduanya ditemukan pada Agustus 2026 dan diumumkan ke publik pada 20 Oktober 2026. Tingkat keparahannya dilaporkan mencapai skor 9,2 dari skala 10.
PHP adalah bahasa pemrograman sisi server yang dipakai sangat luas untuk membangun situs web dinamis. Celah kritis di komponen ini berpotensi dimanfaatkan penyerang untuk menjalankan kode berbahaya dari jarak jauh, atau remote code execution, pada sistem yang rentan. Bila eksploitasi berhasil, dampaknya bisa berupa gangguan layanan, akses tidak sah ke data, hingga pengambilalihan server.
3. Kenapa Situs TKDN Jadi Sorotan?
Situs TKDN adalah salah satu rujukan publik untuk menelusuri produk yang sudah tercatat dalam sistem Tingkat Komponen Dalam Negeri: nama produsen, nomor model perangkat, keterangan jaringan, hingga persentase kandungan lokal. Bagi industri ponsel, munculnya nomor model baru di database TKDN sering dibaca sebagai petunjuk awal perangkat yang berpotensi dipasarkan di Indonesia.
Selama situs mati, akses publik ke informasi itu ikut terhenti. Satu hal yang perlu diluruskan: pencatatan di TKDN tidak otomatis memastikan tanggal peluncuran maupun ketersediaan produk di pasar. Jadi, situs yang tidak bisa dibuka bukan berarti peluncuran ponsel tertunda, hanya saja rujukannya tidak bisa dicek untuk sementara.
4. Indonesia Bukan Satu-Satunya yang Waspada
Kewaspadaan terhadap PHP2Shell juga dilaporkan terjadi di luar negeri. Sejumlah situs pemerintah Nepal dengan domain .gov.np dilaporkan tidak dapat diakses, langkah serupa dilaporkan di Finlandia dan Belanda, dan di Inggris, Dewan Kota Edinburgh serta sejumlah halaman situs BBC disebut ikut dinonaktifkan sementara.
Namun, perlu kehati-hatian membaca laporan itu: belum ada rincian yang memastikan seluruh gangguan layanan di negara-negara tersebut disebabkan eksploitasi yang berhasil. Sebagian bisa jadi prosedur mitigasi yang sama seperti yang dilakukan Kemenperin, yaitu mematikan dulu, mengamankan dulu, baru menyalakan lagi.
5. BSSN Sudah Memberi Tahu Obatnya: Update PHP
BSSN sebelumnya menerbitkan peringatan keamanan terkait dua kerentanan PHP2Shell. Imbauannya tegas: pengelola situs segera memperbarui PHP ke versi yang sudah diperbaiki, yaitu PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, sesuai cabang versi yang dipakai.
Pembaruan harus diterapkan ke seluruh lingkungan PHP yang menjalankan layanan web, termasuk PHP-FPM, Apache mod_php, dan php-cgi, lalu layanan terkait dijalankan ulang agar perbaikan benar-benar aktif. Bila pembaruan belum bisa dilakukan, BSSN menyarankan pembatasan akses jaringan atau isolasi sementara terhadap layanan yang berisiko. Itulah, pada dasarnya, yang dilakukan Kemenperin dalam skala kementerian.
Kapan Situs TKDN Kembali Normal?
Berdasarkan jadwal yang diumumkan, penonaktifan berlangsung hingga Minggu (25/10/2026). Tetapi belum ada kepastian soal jam pemulihan masing-masing layanan, termasuk situs TKDN. Kembalinya layanan bergantung pada hasil pemeriksaan dan langkah pengamanan pengelola.
Pelajaran yang bisa dipetik publik: ancaman siber tidak hanya berisiko mencuri data, tetapi juga bisa membuat layanan yang sehari-hari jadi rujukan ikut lumpuh. Dan bagi pengelola situs mana pun, pengumuman celah dengan skor 9,2 bukan berita untuk dibaca santai, melainkan tenggat untuk memperbarui.
Tanya Jawab
Apakah situs Kemenperin sudah diretas?
Tidak ada informasi yang memastikan hal itu. Penonaktifan diumumkan sebagai langkah mitigasi risiko, bukan sebagai pengakuan kebobolan.
Apa itu PHP2Shell?
Nama untuk dua kerentanan kritis PHP (CVE-2026-109618 dan CVE-2026-109619) yang berpotensi memungkinkan eksekusi kode jarak jauh pada sistem yang rentan.
Versi PHP mana yang aman dari PHP2Shell?
Menurut peringatan BSSN: PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, sesuai cabang versi yang digunakan, plus restart layanan terkait setelah pembaruan.
Sampai kapan situs TKDN tidak bisa diakses?
Dijadwalkan hingga Minggu, 25 Oktober 2026, tetapi jam pastinya belum diumumkan dan bergantung pada hasil pemeriksaan keamanan.
Sumber
Selular.ID, "Ancaman Serangan Siber PHP2Shell, Kemenperin Matikan Situs TKDN hingga 25 Oktober", 24 Oktober 2026. selular.id
Peringatan keamanan BSSN tentang kerentanan PHP2Shell, sebagaimana dikutip Selular.ID (versi PHP yang direkomendasikan: 8.5.12, 8.4.27, 8.3.36, 8.2.35).
Pengumuman Kemenperin di media sosial resmi, sebagaimana dikutip Selular.ID (penonaktifan mulai 22 Oktober 2026 pukul 22.00 WIB hingga 25 Oktober 2026).
