Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Kondisi Pemeliharaan Open Source Menjadi Perhatian Industri Teknologi

Perangkat lunak open source memiliki peranan penting dalam pengembangan layanan digital modern. Mulai dari sistem operasi server, aplikasi perusahaan, hingga perangkat elektronik sehari-hari. Walaupun memiliki kontribusi besar, sejumlah proyek kritis tetap mengandalkan oleh sedikit kontributor aktif. Laporan yang dihimpun The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak hanya memiliki satu atau dua maintainer. Temuan tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Perlu diperhatikan bahwa temuan ini merujuk pada daftar penelitian tersebut, bukan seluruh proyek open source di dunia.

Kondisi tersebut menjadi persoalan penting karena sebuah pustaka dapat menjadi fondasi berbagai produk. Jika perangkat lunak penting hanya ditangani satu pengembang, tanggung jawab pengembangan menjadi terkonsentrasi. Tim kecil tersebut biasanya dituntut untuk memeriksa laporan kesalahan, memperbaiki kerentanan yang ditemukan, serta mempertahankan kualitas dokumentasi. Aktivitas pemeliharaan yang beragam menuntut ketersediaan tenaga yang memadai. Jika sumber daya tidak mencukupi, proses pembaruan berpotensi melambat. Untuk mengurangi ketergantungan berlebihan, organisasi pengguna perlu memahami kondisi proyek.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Faktor penting yang sering memengaruhi proyek open source adalah minimnya sumber daya operasional. Sejumlah proyek kode sumber terbuka bergantung pada waktu luang pengembang. Padahal, perusahaan besar dapat memanfaatkan perangkat tersebut untuk menjalankan sistem produksi. Ketidakseimbangan tersebut berpotensi menghambat pemeliharaan jangka panjang. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi hanya dikelola seorang pengembang. Sebagai konsekuensinya, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Tidak hanya berkaitan dengan uang, maintainer open source sering menerima beban tanggung jawab tinggi. Perusahaan yang memanfaatkan pustaka sering membutuhkan pembaruan kompatibilitas ketika muncul kerentanan keamanan. Namun, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Situasi kerja seperti ini mungkin mengurangi motivasi pengembangan. Apabila seorang maintainer berhenti, komunitas berpotensi kesulitan mencari pengganti. Dengan demikian, pendanaan perlu disertai pembagian tanggung jawab. Pendekatan yang berkelanjutan ini mendorong transfer pengetahuan teknis.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Sedikitnya maintainer aktif menciptakan tantangan dalam pengawasan perubahan kode. Salah satu risikonya adalah kecilnya kapasitas review perubahan perangkat lunak. Pada pengembangan dengan tata kelola kuat, kontribusi berpeluang mendapat evaluasi teknis tambahan. Sebaliknya, proyek dengan satu maintainer berpotensi melewatkan masalah karena keterbatasan waktu. Situasi tersebut membuat perubahan berbahaya lebih sulit dikenali. Meski demikian, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Penilaian keamanan tetap harus mempertimbangkan kualitas pengujian otomatis, serta kecepatan perbaikan celah.

Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Jenis ancaman tersebut, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Apabila berhasil, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Kasus backdoor XZ Utils pada 2024 memperlihatkan potensi bahaya mengenai ancaman terhadap proses pemeliharaan perangkat lunak. Melalui peristiwa tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Pelajaran utamanya adalah perlindungan rantai pasok tidak cukup mengandalkan kepercayaan personal. Untuk mengurangi ancaman serupa, organisasi perlu mengevaluasi dependensi secara rutin.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Dalam lingkungan bisnis berbasis perangkat lunak, penggunaan dependensi terbuka sering tidak terhindarkan. Berbagai layanan bisnis mengandalkan framework yang dikembangkan komunitas. Cara pengembangan ini membantu mempercepat pembangunan aplikasi. Meski memiliki keuntungan praktis, keamanan aplikasi dipengaruhi komponen yang digunakan. Jika suatu pustaka kehilangan maintainer aktif, perusahaan mungkin kesulitan memperbarui sistem. Risiko lanjutan tersebut dapat berupa gangguan layanan.

Pentingnya tata kelola dependensi juga tercermin dalam laporan industri. Berdasarkan survei industri open source 2026 menyoroti kesulitan penanganan kerentanan bagi perusahaan yang mengandalkan open source. Survei industri itu, 20 persen organisasi melaporkan tidak adanya prosedur tertentu bagi kerentanan CVE. Di sisi perusahaan besar, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Hasil survei ini menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Oleh sebab itu, organisasi sebaiknya memetakan dependensi aplikasinya.

Strategi Memperkuat Keamanan dan Keberlanjutan Proyek Open Source

Pendekatan awal yang cukup penting adalah menyusun inventaris dependensi perangkat lunak. Organisasi sebaiknya menerapkan inventaris perangkat lunak berbentuk SBOM untuk mencatat komponen yang digunakan. Data inventaris ini membantu menentukan risiko ketika celah ditemukan. Selain itu, manfaatkan pemindai dependensi yang memberikan informasi tentang pembaruan keamanan. Namun demikian, penilaian risiko tetap membutuhkan analisis. Dalam evaluasi praktis, masalah yang memiliki dampak tinggi terhadap layanan perlu mendapat perhatian lebih besar dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Selain memperkuat sistem internal, perusahaan perlu mendukung proyek open source yang digunakan. Kontribusi yang dapat diberikan tidak selalu berupa sumbangan uang. Untuk membantu proyek penting, organisasi bisa menyediakan bantuan pendanaan, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Kolaborasi seperti itu dapat mengurangi tekanan maintainer. Organisasi juga dapat, memperkuat proses transfer tanggung jawab agar pengetahuan penting tidak terkonsentrasi. Dengan pendekatan tersebut, risiko ketergantungan berlebihan berpotensi menurun.

Masa Depan Keberlanjutan Proyek Open Source dalam Industri TEKNOLOGI

Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek memperlihatkan persoalan keberlanjutan dalam perlindungan rantai pasok software. Ketergantungan pada satu atau dua pengelola mungkin memperbesar beban penanganan keamanan. Meski kondisi tersebut perlu diperhatikan, keamanan tidak hanya ditentukan jumlah kontributor. Perusahaan perlu menyusun inventaris komponen, mengawasi kerentanan, serta memberikan dukungan kepada proyek penting. Dalam ekosistem digital yang semakin terhubung, keamanan open source merupakan tanggung jawab bersama. Dari sudut pandang Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Bagikan pendapat Anda mengenai keamanan perangkat lunak open source.