Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Laporan Ungkap Ketergantungan Software Open Source pada Sedikit Pengelola

Software dengan kode sumber terbuka menjadi fondasi utama dalam operasional infrastruktur komputasi. Dalam berbagai bidang seperti layanan komputasi awan, platform pengembangan perangkat lunak, hingga produk digital yang digunakan masyarakat. Namun demikian, banyak komponen penting masih bergantung oleh tim pemeliharaan berukuran kecil. Laporan yang dihimpun The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak bergantung pada maksimal dua pengelola. Informasi tersebut menunjukkan tingkat konsentrasi tanggung jawab yang tinggi. Penting dipahami bahwa proporsi itu berasal dari sampel yang dikaji, bukan semua repositori kode sumber terbuka.

Ketergantungan pada sedikit pengelola menjadi persoalan penting karena perangkat lunak kritis digunakan banyak pihak. Jika perangkat lunak penting hanya ditangani satu pengembang, risiko keterlambatan penanganan masalah bertambah. Tim kecil tersebut biasanya dituntut untuk menangani keluhan pengguna, memastikan kompatibilitas versi, serta mempertahankan kualitas dokumentasi. Rangkaian tanggung jawab tersebut menuntut ketersediaan tenaga yang memadai. Apabila dukungan pengembangan terbatas, penanganan kerentanan dapat tertunda. Dengan mempertimbangkan keadaan tersebut, perusahaan sebaiknya memperhatikan kesehatan dependensi.

Mengapa Banyak Proyek Open Source Kritis Kekurangan Pengelola?

Salah satu penyebab utama proyek open source adalah keterbatasan pendanaan. Sejumlah proyek kode sumber terbuka dikembangkan melalui kontribusi sukarela. Padahal, berbagai layanan bisnis mengandalkan proyek tersebut untuk menjalankan sistem produksi. Perbedaan antara tingkat pemanfaatan dan dukungan dapat memperbesar tekanan terhadap maintainer. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil dapat digunakan oleh banyak aplikasi, tetapi belum memperoleh dukungan pendanaan yang stabil. Akibatnya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Selain persoalan pendanaan, maintainer open source juga menghadapi tekanan pekerjaan. Komunitas pengguna proyek dapat meminta penanganan segera ketika ditemukan kesalahan pada versi terbaru. Meski permintaan terus berdatangan, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Kondisi tersebut dapat meningkatkan kelelahan mental. Apabila seorang maintainer berhenti, komunitas berpotensi kesulitan mencari pengganti. Untuk menjaga keberlangsungan proyek, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Pendekatan yang berkelanjutan ini memberikan peluang keberlanjutan yang lebih baik.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Ketergantungan proyek pada satu atau dua individu dapat memperbesar sejumlah risiko keamanan. Salah satu risikonya adalah kurangnya pemeriksaan silang. Dalam proyek yang sehat, kontribusi dapat diperiksa oleh lebih dari satu orang. Sebaliknya, proyek dengan satu maintainer berpotensi melewatkan masalah karena keterbatasan waktu. Keterbatasan proses ini dapat meningkatkan kemungkinan kesalahan tidak terdeteksi. Walaupun risiko meningkat, banyaknya pengembang bukan jaminan keamanan. Faktor seperti kualitas pengujian otomatis, serta kemampuan merespons laporan kerentanan.

Ancaman lainnya adalah penyusupan melalui dependensi aplikasi. Serangan ini, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Ketika perubahan berbahaya mencapai versi rilis, dampaknya dapat meluas ke aplikasi pengguna. Upaya penyusupan terhadap XZ Utils tahun 2024 memperlihatkan potensi bahaya mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Pada kasus keamanan tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Aspek yang perlu diperhatikan adalah keamanan membutuhkan proses review dan transparansi. Untuk mengurangi ancaman serupa, pengguna perlu memantau risiko komponen yang digunakan.

Dampak Ketergantungan Open Source terhadap Perusahaan dan Layanan Digital

Untuk organisasi yang menjalankan aplikasi digital, ketergantungan pada open source merupakan hal umum. Banyak aplikasi mengandalkan framework yang dikembangkan komunitas. Pendekatan tersebut membantu mempercepat pembangunan aplikasi. Walaupun memberikan efisiensi, ketahanan sistem bergantung pula pada kesehatan dependensi. Jika suatu pustaka kehilangan maintainer aktif, tim keamanan berpotensi menghadapi pekerjaan tambahan. Risiko lanjutan tersebut mungkin meningkatkan paparan serangan siber.

Pentingnya tata kelola dependensi semakin mendapat perhatian dalam penelitian teknologi. Dalam penelitian State of Open Source tahun 2026 menemukan bahwa patching masih menjadi persoalan penting bagi perusahaan yang mengandalkan open source. Kajian penggunaan open source tersebut, 20 persen organisasi menyatakan belum memiliki proses khusus untuk merespons CVE. Sebagai temuan tambahan, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Hasil survei ini menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Oleh sebab itu, perusahaan perlu mengetahui komponen yang digunakan.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Langkah pertama yang dapat dilakukan adalah memetakan seluruh komponen open source yang digunakan. Perusahaan dapat menerapkan inventaris perangkat lunak berbentuk SBOM untuk mengidentifikasi versi pustaka. Catatan komponen tersebut membantu menentukan risiko ketika celah ditemukan. Sebagai langkah berikutnya, manfaatkan pemindai dependensi yang memberikan informasi tentang pembaruan keamanan. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Dalam evaluasi praktis, kerentanan yang dapat dieksploitasi pada sistem produksi membutuhkan tindakan lebih cepat dibandingkan temuan pada fitur yang tidak digunakan.

Selain memperkuat sistem internal, perusahaan perlu mendukung proyek open source yang digunakan. Pendekatan kolaboratif ini dapat dilakukan melalui berbagai cara. Dalam penerapan nyata, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta berkontribusi pada sistem otomasi pemeriksaan. Dukungan tersebut mendorong distribusi pengetahuan teknis. Untuk menjaga keberlanjutan jangka panjang, mendorong penambahan pengelola tepercaya agar proyek tidak bergantung pada satu individu. Dengan pendekatan tersebut, risiko ketergantungan berlebihan berpotensi menurun.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek menunjukkan tantangan penting dalam perlindungan rantai pasok software. Ketergantungan pada satu atau dua pengelola berpotensi melemahkan ketahanan pemeliharaan. Namun demikian, keamanan tidak hanya ditentukan jumlah kontributor. Perusahaan perlu memetakan dependensi, mengawasi kerentanan, serta memberikan dukungan kepada proyek penting. Dalam ekosistem digital yang semakin terhubung, keberlanjutan proyek menjadi kepentingan banyak pihak. Dari sudut pandang Anda, apakah organisasi sebaiknya menyediakan tenaga pengembang untuk membantu proyek terbuka? Sampaikan pandangan Anda mengenai masa depan keberlanjutan infrastruktur digital.