Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Kondisi Pemeliharaan Open Source Menjadi Perhatian Industri Teknologi

Ekosistem perangkat lunak sumber terbuka merupakan komponen mendasar dalam pengembangan layanan digital modern. Penggunaannya mencakup sistem operasi server, platform pengembangan perangkat lunak, hingga produk digital yang digunakan masyarakat. Namun demikian, banyak komponen penting masih bergantung oleh sedikit kontributor aktif. Analisis proyek kritis yang dipublikasikan The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak ditangani oleh satu hingga dua pemelihara. Hasil pengamatan ini menunjukkan tingkat konsentrasi tanggung jawab yang tinggi. Namun harus dibedakan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan seluruh proyek open source di dunia.

Kondisi tersebut menimbulkan perhatian serius karena satu komponen dapat mendukung ribuan aplikasi. Jika perangkat lunak penting hanya ditangani satu pengembang, risiko keterlambatan penanganan masalah bertambah. Pengelola harus memeriksa laporan kesalahan, merilis pembaruan keamanan, serta mempertahankan kualitas dokumentasi. Semua pekerjaan tersebut membutuhkan waktu dan perhatian. Jika sumber daya tidak mencukupi, keberlanjutan proyek mungkin terganggu. Oleh karena itu, komunitas perlu membangun dukungan pemeliharaan yang berkelanjutan.

Masalah Pendanaan dan Beban Kerja Maintainer Open Source

Salah satu penyebab utama proyek open source adalah kurangnya dukungan finansial. Banyak perangkat lunak terbuka bergantung pada waktu luang pengembang. Di sisi penggunaan, perusahaan besar dapat memanfaatkan perangkat tersebut untuk menjalankan sistem produksi. Ketidakseimbangan tersebut dapat memperbesar tekanan terhadap maintainer. Sebagai contoh, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi belum memperoleh dukungan pendanaan yang stabil. Dalam keadaan demikian, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Di luar keterbatasan finansial, maintainer open source juga menghadapi tekanan pekerjaan. Pengguna perangkat lunak mungkin mengharapkan perbaikan cepat ketika muncul kerentanan keamanan. Namun, pengelola mungkin memiliki pekerjaan utama lain. Situasi kerja seperti ini mungkin mengurangi motivasi pengembangan. Jika kontributor inti meninggalkan proyek, komunitas berpotensi kesulitan mencari pengganti. Untuk menjaga keberlangsungan proyek, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Strategi pemeliharaan tersebut mendorong transfer pengetahuan teknis.

Risiko Keamanan Ketika Proyek Open Source Hanya Dikelola Sedikit Orang

Jumlah pengelola yang terbatas dapat memperbesar sejumlah risiko keamanan. Tantangan keamanan yang paling relevan adalah kecilnya kapasitas review perubahan perangkat lunak. Jika tersedia beberapa pengelola aktif, kontribusi berpeluang mendapat evaluasi teknis tambahan. Sebaliknya, proyek dengan satu maintainer dapat kesulitan menerapkan pemeriksaan berlapis. Situasi tersebut memperbesar risiko kerentanan bertahan lebih lama. Walaupun risiko meningkat, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Aspek yang juga menentukan mencakup kualitas pengujian otomatis, serta pengelolaan rilis.

Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Jenis ancaman tersebut, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Jika serangan tersebut tidak terdeteksi, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Kasus backdoor XZ Utils pada 2024 memperlihatkan potensi bahaya mengenai risiko penyusupan pada komponen infrastruktur. Dalam insiden tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Pelajaran utamanya adalah keamanan membutuhkan proses review dan transparansi. Oleh karena itu, komunitas harus memperkuat tata kelola perubahan.

Dampak Ketergantungan Open Source terhadap Perusahaan dan Layanan Digital

Dalam lingkungan bisnis berbasis perangkat lunak, ketergantungan pada open source merupakan hal umum. Banyak aplikasi memanfaatkan komponen perangkat lunak dari proyek lain. Pendekatan tersebut memungkinkan tim berfokus pada fitur utama. Namun demikian, ketahanan sistem bergantung pula pada kesehatan dependensi. Jika suatu pustaka tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Risiko lanjutan tersebut berpotensi menambah biaya pemeliharaan.

Pentingnya tata kelola dependensi semakin mendapat perhatian dalam penelitian teknologi. Laporan State of Open Source 2026 menemukan bahwa patching masih menjadi persoalan penting bagi perusahaan yang mengandalkan open source. Dalam penelitian tersebut, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Selain itu, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Hasil survei ini memperlihatkan perlunya proses yang lebih terstruktur. Dengan mempertimbangkan risiko tersebut, organisasi sebaiknya memetakan dependensi aplikasinya.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Langkah pertama yang dapat dilakukan adalah membangun daftar pustaka dan framework dalam aplikasi. Tim keamanan bisa menggunakan dokumen SBOM untuk mencatat komponen yang digunakan. Catatan komponen tersebut mendukung penelusuran dampak kerentanan. Untuk memperoleh pemantauan yang lebih baik, manfaatkan pemindai dependensi yang membantu menemukan komponen berisiko. Meski alat tersebut dapat mempercepat pemeriksaan, penilaian risiko tetap membutuhkan analisis. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan masalah dengan dampak operasional terbatas.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan perlu mendukung proyek open source yang digunakan. Bentuk dukungan tersebut mencakup dukungan finansial maupun teknis. Dalam penerapan nyata, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta meningkatkan kualitas dokumentasi. Kolaborasi seperti itu mendorong distribusi pengetahuan teknis. Untuk menjaga keberlanjutan jangka panjang, membantu regenerasi kontributor agar pengetahuan penting tidak terkonsentrasi. Berkat kerja sama antara pengguna dan pengembang, keamanan serta keberlanjutan dapat meningkat.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Temuan mengenai 11 dari 23 proyek open source kritis memperlihatkan persoalan keberlanjutan dalam perlindungan rantai pasok software. Ketergantungan pada satu atau dua pengelola berpotensi melemahkan ketahanan pemeliharaan. Walaupun jumlah pengelola kecil menjadi indikator risiko, tidak semua proyek kecil otomatis tidak aman. Pengguna perangkat lunak dianjurkan menyusun inventaris komponen, menerapkan pembaruan keamanan, serta membantu pendanaan maintainer. Dalam ekosistem digital yang semakin terhubung, keberlanjutan proyek menjadi kepentingan banyak pihak. Bagaimana pendapat Anda, apakah dukungan industri terhadap software open source sudah cukup memadai? Ceritakan pengalaman Anda mengenai masa depan keberlanjutan infrastruktur digital.