Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Perangkat lunak open source menjadi fondasi utama dalam operasional infrastruktur komputasi. Mulai dari layanan komputasi awan, platform pengembangan perangkat lunak, hingga perangkat elektronik sehari-hari. Walaupun memiliki kontribusi besar, beberapa fondasi digital ternyata ditangani oleh tim pemeliharaan berukuran kecil. Laporan yang dihimpun The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak bergantung pada maksimal dua pengelola. Hasil pengamatan ini memperlihatkan keterbatasan sumber daya pemeliharaan. Namun harus dibedakan bahwa proporsi itu berasal dari sampel yang dikaji, bukan semua repositori kode sumber terbuka.

Ketergantungan pada sedikit pengelola menciptakan tantangan keberlanjutan karena satu komponen dapat mendukung ribuan aplikasi. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, tanggung jawab pengembangan menjadi terkonsentrasi. Maintainer sering perlu menangani keluhan pengguna, merilis pembaruan keamanan, serta mempertahankan kualitas dokumentasi. Aktivitas pemeliharaan yang beragam membutuhkan waktu dan perhatian. Ketika pengelola mengalami kelebihan beban, proses pembaruan berpotensi melambat. Oleh karena itu, organisasi pengguna perlu memahami kondisi proyek.

Masalah Pendanaan dan Beban Kerja Maintainer Open Source

Faktor penting yang sering memengaruhi proyek open source adalah kurangnya dukungan finansial. Banyak perangkat lunak terbuka dikembangkan melalui kontribusi sukarela. Di sisi penggunaan, organisasi komersial sering menggunakan komponen yang sama untuk menjalankan sistem produksi. Perbedaan antara tingkat pemanfaatan dan dukungan berpotensi menghambat pemeliharaan jangka panjang. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil dapat digunakan oleh banyak aplikasi, tetapi hanya dikelola seorang pengembang. Dalam keadaan demikian, perbaikan masalah bergantung pada ketersediaan waktu pengelola.

Selain persoalan pendanaan, maintainer open source juga menghadapi tekanan pekerjaan. Pengguna perangkat lunak mungkin mengharapkan perbaikan cepat ketika muncul kerentanan keamanan. Di sisi lain, pengelola mungkin memiliki pekerjaan utama lain. Situasi kerja seperti ini berpotensi menyebabkan burnout. Apabila seorang maintainer berhenti, pengetahuan teknis dapat sulit dialihkan. Oleh sebab itu, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Langkah tersebut memberikan peluang keberlanjutan yang lebih baik.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Ketergantungan proyek pada satu atau dua individu menciptakan tantangan dalam pengawasan perubahan kode. Salah satu risikonya adalah kecilnya kapasitas review perubahan perangkat lunak. Pada pengembangan dengan tata kelola kuat, kontribusi mungkin melalui proses persetujuan berlapis. Di sisi lain, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Keterbatasan proses ini memperbesar risiko kerentanan bertahan lebih lama. Meski demikian, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Penilaian keamanan tetap harus mempertimbangkan mekanisme perlindungan akun, serta kemampuan merespons laporan kerentanan.

Risiko tambahan yang perlu diwaspadai adalah software supply chain attack. Dalam skenario serangan rantai pasok, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Jika serangan tersebut tidak terdeteksi, dampaknya dapat meluas ke aplikasi pengguna. Insiden keamanan XZ Utils yang terungkap pada 2024 menjadi contoh penting mengenai risiko penyusupan pada komponen infrastruktur. Pada kasus keamanan tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Pelajaran utamanya adalah keamanan membutuhkan proses review dan transparansi. Oleh karena itu, komunitas harus memperkuat tata kelola perubahan.

Dampak Ketergantungan Open Source terhadap Perusahaan dan Layanan Digital

Dalam lingkungan bisnis berbasis perangkat lunak, ketergantungan pada open source merupakan hal umum. Sejumlah sistem perusahaan mengandalkan framework yang dikembangkan komunitas. Penggunaan kode yang telah tersedia membantu mempercepat pembangunan aplikasi. Namun demikian, ketahanan sistem bergantung pula pada kesehatan dependensi. Ketika komponen perangkat lunak penting tidak lagi menerima pembaruan keamanan, aplikasi dapat tetap menggunakan versi rentan. Konsekuensi operasionalnya mungkin meningkatkan paparan serangan siber.

Kebutuhan pemantauan komponen terbuka didukung oleh berbagai kajian keamanan perangkat lunak. Berdasarkan survei industri open source 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi berbagai tim teknologi informasi. Dalam penelitian tersebut, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Di sisi perusahaan besar, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Temuan tersebut menunjukkan pentingnya kesiapan operasional. Dengan mempertimbangkan risiko tersebut, tim pengembang harus memahami perangkat lunak pihak ketiga dalam sistem.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Pendekatan awal yang cukup penting adalah memetakan seluruh komponen open source yang digunakan. Tim keamanan bisa menggunakan dokumen SBOM untuk mendokumentasikan hubungan dependensi. Catatan komponen tersebut mempermudah pemeriksaan versi rentan. Selain itu, terapkan software composition analysis yang mendeteksi paket dengan kerentanan diketahui. Meski alat tersebut dapat mempercepat pemeriksaan, peringatan tidak boleh diperlakukan sama pentingnya. Dalam evaluasi praktis, kerentanan yang dapat dieksploitasi pada sistem produksi sebaiknya diprioritaskan untuk diperbaiki dibandingkan masalah dengan dampak operasional terbatas.

Di samping pengelolaan dependensi, perusahaan dapat membantu meningkatkan kesehatan ekosistem perangkat lunak. Pendekatan kolaboratif ini mencakup dukungan finansial maupun teknis. Untuk membantu proyek penting, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Dukungan tersebut membantu mempercepat perbaikan. Organisasi juga dapat, membantu regenerasi kontributor agar proyek tidak bergantung pada satu individu. Melalui strategi yang saling mendukung, ekosistem open source dapat menjadi lebih tangguh.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menunjukkan tantangan penting dalam perlindungan rantai pasok software. Konsentrasi tanggung jawab pada sedikit individu mungkin memperbesar beban penanganan keamanan. Namun demikian, tidak semua proyek kecil otomatis tidak aman. Pengguna perangkat lunak dianjurkan menyusun inventaris komponen, menerapkan pembaruan keamanan, serta berkontribusi dalam pemeliharaan open source. Dalam ekosistem digital yang semakin terhubung, perlindungan komponen kritis membutuhkan kolaborasi. Bagaimana pendapat Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Sampaikan pandangan Anda mengenai keamanan perangkat lunak open source.