Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Laporan Ungkap Ketergantungan Software Open Source pada Sedikit Pengelola

Software dengan kode sumber terbuka memiliki peranan penting dalam operasional infrastruktur komputasi. Dalam berbagai bidang seperti layanan komputasi awan, aplikasi perusahaan, hingga perangkat elektronik sehari-hari. Walaupun memiliki kontribusi besar, banyak komponen penting masih bergantung oleh tim pemeliharaan berukuran kecil. Analisis proyek kritis yang dipublikasikan The Data Drop mengidentifikasi sebanyak 11 proyek dari total 23 bergantung pada maksimal dua pengelola. Hasil pengamatan ini menggambarkan ketergantungan pada sedikit individu. Perlu diperhatikan bahwa proporsi itu berasal dari sampel yang dikaji, bukan semua repositori kode sumber terbuka.

Kondisi tersebut menjadi persoalan penting karena satu komponen dapat mendukung ribuan aplikasi. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, tanggung jawab pengembangan menjadi terkonsentrasi. Tim kecil tersebut biasanya dituntut untuk meninjau perubahan kode, memastikan kompatibilitas versi, serta mengelola kontribusi pengembang lain. Aktivitas pemeliharaan yang beragam membutuhkan waktu dan perhatian. Ketika pengelola mengalami kelebihan beban, penanganan kerentanan dapat tertunda. Untuk mengurangi ketergantungan berlebihan, organisasi pengguna perlu memahami kondisi proyek.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Tantangan mendasar dalam keberlanjutan proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source bergantung pada waktu luang pengembang. Sementara itu, berbagai layanan bisnis mengandalkan proyek tersebut untuk menjalankan sistem produksi. Perbedaan antara tingkat pemanfaatan dan dukungan menimbulkan persoalan keberlanjutan. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi hanya dikelola seorang pengembang. Dalam keadaan demikian, perbaikan masalah bergantung pada ketersediaan waktu pengelola.

Di luar keterbatasan finansial, maintainer open source dapat mengalami kelelahan akibat banyaknya permintaan. Komunitas pengguna proyek sering membutuhkan pembaruan kompatibilitas ketika muncul kerentanan keamanan. Di sisi lain, pengelola belum tentu bekerja penuh waktu. Tekanan yang berlangsung terus-menerus mungkin mengurangi motivasi pengembangan. Apabila seorang maintainer berhenti, proses pemeliharaan mungkin kehilangan kesinambungan. Dengan demikian, pendanaan perlu disertai pembagian tanggung jawab. Pendekatan yang berkelanjutan ini mendorong transfer pengetahuan teknis.

Risiko Keamanan Ketika Proyek Open Source Hanya Dikelola Sedikit Orang

Ketergantungan proyek pada satu atau dua individu dapat memperbesar sejumlah risiko keamanan. Salah satu risikonya adalah kurangnya pemeriksaan silang. Jika tersedia beberapa pengelola aktif, kontribusi berpeluang mendapat evaluasi teknis tambahan. Namun, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Situasi tersebut membuat perubahan berbahaya lebih sulit dikenali. Walaupun risiko meningkat, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Aspek yang juga menentukan mencakup prosedur persetujuan perubahan, serta kecepatan perbaikan celah.

Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Jenis ancaman tersebut, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Ketika perubahan berbahaya mencapai versi rilis, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Upaya penyusupan terhadap XZ Utils tahun 2024 sering dijadikan pelajaran mengenai ancaman terhadap proses pemeliharaan perangkat lunak. Melalui peristiwa tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Kesimpulan penting dari contoh tersebut adalah perlindungan rantai pasok tidak cukup mengandalkan kepercayaan personal. Untuk mengurangi ancaman serupa, pengguna perlu memantau risiko komponen yang digunakan.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Untuk organisasi yang menjalankan aplikasi digital, pemanfaatan komponen sumber terbuka menjadi bagian penting infrastruktur. Berbagai layanan bisnis dibangun menggunakan pustaka pihak ketiga. Penggunaan kode yang telah tersedia membantu mempercepat pembangunan aplikasi. Walaupun memberikan efisiensi, keamanan aplikasi dipengaruhi komponen yang digunakan. Ketika komponen perangkat lunak penting kehilangan maintainer aktif, aplikasi dapat tetap menggunakan versi rentan. Risiko lanjutan tersebut dapat berupa gangguan layanan.

Perlunya pengelolaan pustaka pihak ketiga didukung oleh berbagai kajian keamanan perangkat lunak. Dalam penelitian State of Open Source tahun 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi berbagai tim teknologi informasi. Dalam penelitian tersebut, 20 persen organisasi melaporkan tidak adanya prosedur tertentu bagi kerentanan CVE. Sebagai temuan tambahan, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Kondisi yang terungkap menunjukkan pentingnya kesiapan operasional. Sebagai langkah pengendalian, organisasi sebaiknya memetakan dependensi aplikasinya.

Strategi Memperkuat Keamanan dan Keberlanjutan Proyek Open Source

Pendekatan awal yang cukup penting adalah memetakan seluruh komponen open source yang digunakan. Perusahaan dapat menerapkan inventaris perangkat lunak berbentuk SBOM untuk mengidentifikasi versi pustaka. Catatan komponen tersebut membantu menentukan risiko ketika celah ditemukan. Selain itu, gunakan alat analisis komposisi perangkat lunak yang membantu menemukan komponen berisiko. Namun demikian, hasilnya perlu dievaluasi berdasarkan konteks. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Di samping pengelolaan dependensi, perusahaan perlu mendukung proyek open source yang digunakan. Bentuk dukungan tersebut mencakup dukungan finansial maupun teknis. Untuk membantu proyek penting, organisasi dapat mendanai pengelola, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Kontribusi berkelanjutan ini dapat mengurangi tekanan maintainer. Sebagai langkah tata kelola, membantu regenerasi kontributor agar proyek tidak bergantung pada satu individu. Berkat kerja sama antara pengguna dan pengembang, keamanan serta keberlanjutan dapat meningkat.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Temuan mengenai 11 dari 23 proyek open source kritis memperlihatkan persoalan keberlanjutan dalam pengelolaan perangkat lunak sumber terbuka. Ketergantungan pada satu atau dua pengelola dapat meningkatkan risiko keterlambatan pembaruan. Meski kondisi tersebut perlu diperhatikan, kualitas tata kelola tetap menjadi faktor penting. Organisasi sebaiknya menyusun inventaris komponen, menilai risiko penggunaan, serta membantu pendanaan maintainer. Seiring perkembangan TEKNOLOGI, keamanan open source merupakan tanggung jawab bersama. Menurut Anda, apakah organisasi sebaiknya menyediakan tenaga pengembang untuk membantu proyek terbuka? Sampaikan pandangan Anda mengenai keamanan perangkat lunak open source.