Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Laporan Ungkap Ketergantungan Software Open Source pada Sedikit Pengelola

Software dengan kode sumber terbuka memiliki peranan penting dalam pengembangan layanan digital modern. Penggunaannya mencakup sistem operasi server, sistem pengolahan data, hingga perangkat elektronik sehari-hari. Namun demikian, beberapa fondasi digital ternyata ditangani oleh jumlah pengelola yang sangat terbatas. Laporan yang dihimpun The Data Drop mengidentifikasi sebanyak 11 proyek dari total 23 ditangani oleh satu hingga dua pemelihara. Informasi tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Perlu diperhatikan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan seluruh proyek open source di dunia.

Struktur pemeliharaan yang terbatas menimbulkan perhatian serius karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen bergantung pada dua maintainer aktif, risiko keterlambatan penanganan masalah bertambah. Pengelola harus meninjau perubahan kode, merilis pembaruan keamanan, serta menjawab kebutuhan komunitas. Rangkaian tanggung jawab tersebut membutuhkan waktu dan perhatian. Apabila dukungan pengembangan terbatas, penanganan kerentanan dapat tertunda. Oleh karena itu, komunitas perlu membangun dukungan pemeliharaan yang berkelanjutan.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Faktor penting yang sering memengaruhi proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source bergantung pada waktu luang pengembang. Padahal, perusahaan besar dapat memanfaatkan perangkat tersebut untuk mengembangkan layanan kepada pelanggan. Perbedaan antara tingkat pemanfaatan dan dukungan berpotensi menghambat pemeliharaan jangka panjang. Sebagai contoh, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi belum memperoleh dukungan pendanaan yang stabil. Dalam keadaan demikian, perbaikan masalah bergantung pada ketersediaan waktu pengelola.

Tidak hanya berkaitan dengan uang, maintainer open source dapat mengalami kelelahan akibat banyaknya permintaan. Perusahaan yang memanfaatkan pustaka sering membutuhkan pembaruan kompatibilitas ketika muncul kerentanan keamanan. Namun, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Situasi kerja seperti ini mungkin mengurangi motivasi pengembangan. Jika kontributor inti meninggalkan proyek, pengetahuan teknis dapat sulit dialihkan. Oleh sebab itu, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Strategi pemeliharaan tersebut membantu mengurangi ketergantungan pada individu.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Sedikitnya maintainer aktif menciptakan tantangan dalam pengawasan perubahan kode. Tantangan keamanan yang paling relevan adalah terbatasnya peninjauan kode. Jika tersedia beberapa pengelola aktif, kontribusi berpeluang mendapat evaluasi teknis tambahan. Namun, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Kondisi pengawasan semacam itu dapat meningkatkan kemungkinan kesalahan tidak terdeteksi. Walaupun risiko meningkat, banyaknya pengembang bukan jaminan keamanan. Penilaian keamanan tetap harus mempertimbangkan prosedur persetujuan perubahan, serta pengelolaan rilis.

Persoalan keamanan berikutnya adalah software supply chain attack. Serangan ini, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, dampaknya dapat meluas ke aplikasi pengguna. Kasus backdoor XZ Utils pada 2024 memperlihatkan potensi bahaya mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Melalui peristiwa tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Aspek yang perlu diperhatikan adalah keamanan membutuhkan proses review dan transparansi. Untuk mengurangi ancaman serupa, pengguna perlu memantau risiko komponen yang digunakan.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Untuk organisasi yang menjalankan aplikasi digital, ketergantungan pada open source merupakan hal umum. Berbagai layanan bisnis dibangun menggunakan pustaka pihak ketiga. Pendekatan tersebut memungkinkan tim berfokus pada fitur utama. Meski memiliki keuntungan praktis, ketahanan sistem bergantung pula pada kesehatan dependensi. Jika suatu pustaka kehilangan maintainer aktif, perusahaan mungkin kesulitan memperbarui sistem. Dampaknya mungkin meningkatkan paparan serangan siber.

Kebutuhan pemantauan komponen terbuka didukung oleh berbagai kajian keamanan perangkat lunak. Dalam penelitian State of Open Source tahun 2026 menyoroti kesulitan penanganan kerentanan bagi organisasi pengguna software terbuka. Dalam penelitian tersebut, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Sebagai temuan tambahan, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Temuan tersebut menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Sebagai langkah pengendalian, organisasi sebaiknya memetakan dependensi aplikasinya.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Langkah pertama yang dapat dilakukan adalah memetakan seluruh komponen open source yang digunakan. Tim keamanan bisa menerapkan inventaris perangkat lunak berbentuk SBOM untuk mencatat komponen yang digunakan. Informasi tersebut mendukung penelusuran dampak kerentanan. Untuk memperoleh pemantauan yang lebih baik, manfaatkan pemindai dependensi yang membantu menemukan komponen berisiko. Meski alat tersebut dapat mempercepat pemeriksaan, peringatan tidak boleh diperlakukan sama pentingnya. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan masalah dengan dampak operasional terbatas.

Di samping pengelolaan dependensi, perusahaan sebaiknya berkontribusi terhadap keberlanjutan maintainer. Pendekatan kolaboratif ini mencakup dukungan finansial maupun teknis. Untuk membantu proyek penting, organisasi berpeluang memberikan sponsor rutin, menugaskan pengembang memperbaiki masalah, serta berkontribusi pada sistem otomasi pemeriksaan. Kontribusi berkelanjutan ini mendorong distribusi pengetahuan teknis. Sebagai langkah tata kelola, memperkuat proses transfer tanggung jawab agar pengetahuan penting tidak terkonsentrasi. Dengan pendekatan tersebut, keamanan serta keberlanjutan dapat meningkat.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Temuan mengenai 11 dari 23 proyek open source kritis memperlihatkan persoalan keberlanjutan dalam perlindungan rantai pasok software. Ketergantungan pada satu atau dua pengelola mungkin memperbesar beban penanganan keamanan. Meski kondisi tersebut perlu diperhatikan, keamanan tidak hanya ditentukan jumlah kontributor. Pengguna perangkat lunak dianjurkan menyusun inventaris komponen, menerapkan pembaruan keamanan, serta membantu pendanaan maintainer. Di tengah meningkatnya ketergantungan pada perangkat lunak, keberlanjutan proyek menjadi kepentingan banyak pihak. Bagaimana pendapat Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Ceritakan pengalaman Anda mengenai tantangan pengelola proyek sumber terbuka.