Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Ekosistem perangkat lunak sumber terbuka memiliki peranan penting dalam pembangunan berbagai aplikasi teknologi. Dalam berbagai bidang seperti layanan komputasi awan, aplikasi perusahaan, hingga produk digital yang digunakan masyarakat. Namun demikian, beberapa fondasi digital ternyata ditangani oleh tim pemeliharaan berukuran kecil. Laporan yang dihimpun The Data Drop menunjukkan bahwa 11 dari 23 proyek ditangani oleh satu hingga dua pemelihara. Informasi tersebut menunjukkan tingkat konsentrasi tanggung jawab yang tinggi. Perlu diperhatikan bahwa proporsi itu berasal dari sampel yang dikaji, bukan seluruh proyek open source di dunia.

Ketergantungan pada sedikit pengelola menjadi persoalan penting karena perangkat lunak kritis digunakan banyak pihak. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, tanggung jawab pengembangan menjadi terkonsentrasi. Maintainer sering perlu meninjau perubahan kode, memastikan kompatibilitas versi, serta mengelola kontribusi pengembang lain. Rangkaian tanggung jawab tersebut menuntut ketersediaan tenaga yang memadai. Jika sumber daya tidak mencukupi, penanganan kerentanan dapat tertunda. Dengan mempertimbangkan keadaan tersebut, organisasi pengguna perlu memahami kondisi proyek.

Mengapa Banyak Proyek Open Source Kritis Kekurangan Pengelola?

Faktor penting yang sering memengaruhi proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source dipelihara oleh individu tanpa pendanaan tetap. Sementara itu, perusahaan besar dapat memanfaatkan perangkat tersebut untuk mengembangkan layanan kepada pelanggan. Kesenjangan kontribusi ini dapat memperbesar tekanan terhadap maintainer. Sebagai contoh, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi belum memperoleh dukungan pendanaan yang stabil. Akibatnya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Tidak hanya berkaitan dengan uang, maintainer open source sering menerima beban tanggung jawab tinggi. Komunitas pengguna proyek dapat meminta penanganan segera ketika terjadi gangguan perangkat lunak. Di sisi lain, pengelola belum tentu bekerja penuh waktu. Kondisi tersebut dapat meningkatkan kelelahan mental. Ketika pengelola utama tidak lagi aktif, komunitas berpotensi kesulitan mencari pengganti. Dengan demikian, pendanaan perlu disertai pembagian tanggung jawab. Pendekatan yang berkelanjutan ini membantu mengurangi ketergantungan pada individu.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Ketergantungan proyek pada satu atau dua individu menciptakan tantangan dalam pengawasan perubahan kode. Tantangan keamanan yang paling relevan adalah kecilnya kapasitas review perubahan perangkat lunak. Dalam proyek yang sehat, kontribusi berpeluang mendapat evaluasi teknis tambahan. Namun, proyek dengan satu maintainer berpotensi melewatkan masalah karena keterbatasan waktu. Kondisi pengawasan semacam itu memperbesar risiko kerentanan bertahan lebih lama. Meski demikian, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Faktor seperti mekanisme perlindungan akun, serta kecepatan perbaikan celah.

Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Dalam skenario serangan rantai pasok, pelaku mencoba memasukkan kode berbahaya ke dalam dependensi. Ketika perubahan berbahaya mencapai versi rilis, berbagai sistem hilir berpotensi terdampak. Upaya penyusupan terhadap XZ Utils tahun 2024 memperlihatkan potensi bahaya mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Pada kasus keamanan tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Aspek yang perlu diperhatikan adalah pengelolaan akses maintainer harus dilakukan hati-hati. Untuk mengurangi ancaman serupa, organisasi perlu mengevaluasi dependensi secara rutin.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Bagi perusahaan modern, ketergantungan pada open source merupakan hal umum. Banyak aplikasi dibangun menggunakan pustaka pihak ketiga. Pendekatan tersebut membantu mempercepat pembangunan aplikasi. Namun demikian, keamanan aplikasi dipengaruhi komponen yang digunakan. Ketika komponen perangkat lunak penting tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Dampaknya mungkin meningkatkan paparan serangan siber.

Perlunya pengelolaan pustaka pihak ketiga semakin mendapat perhatian dalam penelitian teknologi. Dalam penelitian State of Open Source tahun 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi organisasi pengguna software terbuka. Survei industri itu, 20 persen organisasi melaporkan tidak adanya prosedur tertentu bagi kerentanan CVE. Selain itu, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Hasil survei ini menunjukkan pentingnya kesiapan operasional. Sebagai langkah pengendalian, organisasi sebaiknya memetakan dependensi aplikasinya.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Pendekatan awal yang cukup penting adalah memetakan seluruh komponen open source yang digunakan. Perusahaan dapat menggunakan dokumen SBOM untuk mencatat komponen yang digunakan. Catatan komponen tersebut membantu menentukan risiko ketika celah ditemukan. Selain itu, manfaatkan pemindai dependensi yang memberikan informasi tentang pembaruan keamanan. Namun demikian, hasilnya perlu dievaluasi berdasarkan konteks. Dalam evaluasi praktis, celah pada komponen yang benar-benar digunakan membutuhkan tindakan lebih cepat dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan sebaiknya berkontribusi terhadap keberlanjutan maintainer. Kontribusi yang dapat diberikan tidak selalu berupa sumbangan uang. Untuk membantu proyek penting, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Kontribusi berkelanjutan ini dapat mengurangi tekanan maintainer. Organisasi juga dapat, mendorong penambahan pengelola tepercaya agar pengetahuan penting tidak terkonsentrasi. Melalui strategi yang saling mendukung, keamanan serta keberlanjutan dapat meningkat.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menunjukkan tantangan penting dalam pemeliharaan infrastruktur digital. Konsentrasi tanggung jawab pada sedikit individu mungkin memperbesar beban penanganan keamanan. Walaupun jumlah pengelola kecil menjadi indikator risiko, keamanan tidak hanya ditentukan jumlah kontributor. Perusahaan perlu memeriksa perangkat lunak pihak ketiga, menerapkan pembaruan keamanan, serta memberikan dukungan kepada proyek penting. Seiring perkembangan TEKNOLOGI, perlindungan komponen kritis membutuhkan kolaborasi. Bagaimana pendapat Anda, apakah dukungan industri terhadap software open source sudah cukup memadai? Bagikan pendapat Anda mengenai tantangan pengelola proyek sumber terbuka.