Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Perangkat lunak open source merupakan komponen mendasar dalam pembangunan berbagai aplikasi teknologi. Penggunaannya mencakup layanan komputasi awan, platform pengembangan perangkat lunak, hingga perangkat elektronik sehari-hari. Walaupun memiliki kontribusi besar, banyak komponen penting masih bergantung oleh jumlah pengelola yang sangat terbatas. Laporan yang dihimpun The Data Drop mengidentifikasi sebanyak 11 proyek dari total 23 bergantung pada maksimal dua pengelola. Temuan tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Namun harus dibedakan bahwa temuan ini merujuk pada daftar penelitian tersebut, bukan keseluruhan ekosistem perangkat lunak terbuka.

Ketergantungan pada sedikit pengelola menciptakan tantangan keberlanjutan karena satu komponen dapat mendukung ribuan aplikasi. Ketika sebuah proyek memiliki jumlah pemelihara yang sangat kecil, beban pemeliharaan dapat meningkat. Maintainer sering perlu meninjau perubahan kode, merilis pembaruan keamanan, serta menjawab kebutuhan komunitas. Semua pekerjaan tersebut memerlukan kemampuan teknis berkelanjutan. Jika sumber daya tidak mencukupi, penanganan kerentanan dapat tertunda. Dengan mempertimbangkan keadaan tersebut, organisasi pengguna perlu memahami kondisi proyek.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Salah satu penyebab utama proyek open source adalah kurangnya dukungan finansial. Berbagai komponen open source dikembangkan melalui kontribusi sukarela. Padahal, perusahaan besar dapat memanfaatkan perangkat tersebut untuk mendukung aktivitas operasional yang menghasilkan pendapatan. Kesenjangan kontribusi ini menimbulkan persoalan keberlanjutan. Sebagai contoh, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi hanya dikelola seorang pengembang. Sebagai konsekuensinya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Selain persoalan pendanaan, maintainer open source dapat mengalami kelelahan akibat banyaknya permintaan. Komunitas pengguna proyek sering membutuhkan pembaruan kompatibilitas ketika muncul kerentanan keamanan. Namun, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Tekanan yang berlangsung terus-menerus berpotensi menyebabkan burnout. Ketika pengelola utama tidak lagi aktif, pengetahuan teknis dapat sulit dialihkan. Untuk menjaga keberlangsungan proyek, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Langkah tersebut mendorong transfer pengetahuan teknis.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Sedikitnya maintainer aktif menciptakan tantangan dalam pengawasan perubahan kode. Tantangan keamanan yang paling relevan adalah kurangnya pemeriksaan silang. Jika tersedia beberapa pengelola aktif, kontribusi dapat diperiksa oleh lebih dari satu orang. Namun, proyek dengan satu maintainer berpotensi melewatkan masalah karena keterbatasan waktu. Kondisi pengawasan semacam itu memperbesar risiko kerentanan bertahan lebih lama. Walaupun risiko meningkat, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Faktor seperti kualitas pengujian otomatis, serta kecepatan perbaikan celah.

Ancaman lainnya adalah software supply chain attack. Dalam skenario serangan rantai pasok, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Apabila berhasil, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Upaya penyusupan terhadap XZ Utils tahun 2024 sering dijadikan pelajaran mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Dalam insiden tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Pelajaran utamanya adalah keamanan membutuhkan proses review dan transparansi. Dengan demikian, organisasi perlu mengevaluasi dependensi secara rutin.

Dampak Ketergantungan Open Source terhadap Perusahaan dan Layanan Digital

Bagi perusahaan modern, penggunaan dependensi terbuka sering tidak terhindarkan. Sejumlah sistem perusahaan dibangun menggunakan pustaka pihak ketiga. Penggunaan kode yang telah tersedia memungkinkan tim berfokus pada fitur utama. Walaupun memberikan efisiensi, risiko pemeliharaan ikut menjadi tanggung jawab pengguna. Ketika komponen perangkat lunak penting tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Konsekuensi operasionalnya berpotensi menambah biaya pemeliharaan.

Kebutuhan pemantauan komponen terbuka didukung oleh berbagai kajian keamanan perangkat lunak. Laporan State of Open Source 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi organisasi pengguna software terbuka. Dalam penelitian tersebut, 20 persen organisasi menyatakan belum memiliki proses khusus untuk merespons CVE. Di sisi perusahaan besar, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Temuan tersebut menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Oleh sebab itu, perusahaan perlu mengetahui komponen yang digunakan.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Strategi dasar untuk memperkuat keamanan adalah membangun daftar pustaka dan framework dalam aplikasi. Tim keamanan bisa menggunakan dokumen SBOM untuk mendokumentasikan hubungan dependensi. Catatan komponen tersebut mempermudah pemeriksaan versi rentan. Sebagai langkah berikutnya, gunakan alat analisis komposisi perangkat lunak yang mendeteksi paket dengan kerentanan diketahui. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Di samping pengelolaan dependensi, perusahaan dapat membantu meningkatkan kesehatan ekosistem perangkat lunak. Pendekatan kolaboratif ini dapat dilakukan melalui berbagai cara. Untuk membantu proyek penting, organisasi dapat mendanai pengelola, menugaskan pengembang memperbaiki masalah, serta berkontribusi pada sistem otomasi pemeriksaan. Kolaborasi seperti itu mendorong distribusi pengetahuan teknis. Sebagai langkah tata kelola, mendorong penambahan pengelola tepercaya agar pengetahuan penting tidak terkonsentrasi. Dengan pendekatan tersebut, keamanan serta keberlanjutan dapat meningkat.

Masa Depan Keberlanjutan Proyek Open Source dalam Industri TEKNOLOGI

Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek menjadi pengingat serius dalam pemeliharaan infrastruktur digital. Terbatasnya jumlah maintainer aktif berpotensi melemahkan ketahanan pemeliharaan. Meski kondisi tersebut perlu diperhatikan, tidak semua proyek kecil otomatis tidak aman. Perusahaan perlu memetakan dependensi, menilai risiko penggunaan, serta berkontribusi dalam pemeliharaan open source. Seiring perkembangan TEKNOLOGI, perlindungan komponen kritis membutuhkan kolaborasi. Bagaimana pendapat Anda, apakah dukungan industri terhadap software open source sudah cukup memadai? Ceritakan pengalaman Anda mengenai keamanan perangkat lunak open source.