Menurut saya ada lima hal dasar yang perlu dimiliki:
- Inventaris aset. Daftar semua server dan aplikasi beserta versi OS, PHP, framework, penanggung jawab, dan apakah terbuka ke internet. Tanpa ini, kita tidak tahu apa yang harus ditambal.
- SLA patching. Contoh: kerentanan Critical yang terbuka ke internet ditambal maksimal 48–72 jam, High dalam 7 hari. Disetujui pimpinan sehingga tidak perlu menunggu rapat saat darurat.
- Pemantauan kerentanan. Langganan advisory (php.net, distro, CISA, BSSN), dan otomatisasi seperti
composer audit, Dependabot, atau pemindai container. - Lingkungan staging dan backup teruji, supaya update bisa diuji cepat dan dibatalkan bila bermasalah.
- Rencana respons insiden. Siapa melakukan apa, kapan rotasi kredensial, dan bagaimana komunikasi ke pimpinan serta pengguna.
Soal tanggung jawab, ini tanggung jawab bersama dengan peran yang jelas. Pengembang menjaga kode tetap kompatibel dengan versi yang didukung. Admin server menjalankan patching dan pemantauan. Manajemen menyediakan anggaran, SDM, dan kebijakan, termasuk klausul pemeliharaan di kontrak vendor.
Silakan berbagi: bagaimana penanganan PHP2Shell di kampus atau kantor Anda?
