Ini dilema klasik: risiko downtime vs risiko diretas. Pilihan realistisnya bertahap:
- Cek backport dari distro. Bila PHP berasal dari paket resmi distro yang masih didukung (misalnya Ubuntu/Debian/RHEL versi LTS), pantau apakah mereka merilis patch keamanan untuk versi PHP bawaannya. Ada juga layanan LTS pihak ketiga berbayar yang memberi backport untuk PHP EOL.
- Isolasi. Bila aplikasi hanya dipakai internal, tutup akses dari internet dan buka lewat VPN atau jaringan kantor saja. Pasang WAF di depannya dan terapkan mitigasi konfigurasi.
- Migrasi terencana. Pakai alat bantu seperti Rector dan PHPCompatibility (PHP_CodeSniffer) untuk memetakan kode yang tidak kompatibel. Uji di staging, perbaiki, baru pindahkan ke produksi.
- Evaluasi ulang. Bila biaya perbaikan terlalu besar, mungkin ini saatnya aplikasi diganti atau dibangun ulang.
Pelajaran pentingnya: kontrak pengadaan aplikasi sebaiknya mencantumkan kewajiban pemeliharaan keamanan dan serah terima source code, supaya instansi tidak tersandera saat vendor sudah tidak ada.
