Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Laporan Ungkap Ketergantungan Software Open Source pada Sedikit Pengelola

Software dengan kode sumber terbuka menjadi fondasi utama dalam pengembangan layanan digital modern. Penggunaannya mencakup infrastruktur jaringan, aplikasi perusahaan, hingga berbagai perangkat terhubung internet. Walaupun memiliki kontribusi besar, banyak komponen penting masih bergantung oleh jumlah pengelola yang sangat terbatas. Laporan yang dihimpun The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak ditangani oleh satu hingga dua pemelihara. Temuan tersebut menunjukkan tingkat konsentrasi tanggung jawab yang tinggi. Penting dipahami bahwa temuan ini merujuk pada daftar penelitian tersebut, bukan keseluruhan ekosistem perangkat lunak terbuka.

Ketergantungan pada sedikit pengelola menciptakan tantangan keberlanjutan karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen hanya ditangani satu pengembang, beban pemeliharaan dapat meningkat. Pengelola harus memeriksa laporan kesalahan, merilis pembaruan keamanan, serta menjawab kebutuhan komunitas. Rangkaian tanggung jawab tersebut menuntut ketersediaan tenaga yang memadai. Ketika pengelola mengalami kelebihan beban, keberlanjutan proyek mungkin terganggu. Dengan mempertimbangkan keadaan tersebut, perusahaan sebaiknya memperhatikan kesehatan dependensi.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Tantangan mendasar dalam keberlanjutan proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source bergantung pada waktu luang pengembang. Sementara itu, berbagai layanan bisnis mengandalkan proyek tersebut untuk menjalankan sistem produksi. Kesenjangan kontribusi ini berpotensi menghambat pemeliharaan jangka panjang. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi belum memperoleh dukungan pendanaan yang stabil. Akibatnya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Selain persoalan pendanaan, maintainer open source sering menerima beban tanggung jawab tinggi. Pengguna perangkat lunak dapat meminta penanganan segera ketika terjadi gangguan perangkat lunak. Meski permintaan terus berdatangan, pengelola belum tentu bekerja penuh waktu. Kondisi tersebut dapat meningkatkan kelelahan mental. Ketika pengelola utama tidak lagi aktif, proses pemeliharaan mungkin kehilangan kesinambungan. Untuk menjaga keberlangsungan proyek, pendanaan perlu disertai pembagian tanggung jawab. Strategi pemeliharaan tersebut mendorong transfer pengetahuan teknis.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Ketergantungan proyek pada satu atau dua individu berpotensi meningkatkan kelemahan tata kelola. Salah satu risikonya adalah kurangnya pemeriksaan silang. Dalam proyek yang sehat, kontribusi dapat diperiksa oleh lebih dari satu orang. Namun, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Kondisi pengawasan semacam itu memperbesar risiko kerentanan bertahan lebih lama. Meski demikian, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Aspek yang juga menentukan mencakup kualitas pengujian otomatis, serta kecepatan perbaikan celah.

Ancaman lainnya adalah serangan terhadap rantai pasok perangkat lunak. Jenis ancaman tersebut, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Jika serangan tersebut tidak terdeteksi, berbagai sistem hilir berpotensi terdampak. Insiden keamanan XZ Utils yang terungkap pada 2024 sering dijadikan pelajaran mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Dalam insiden tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Aspek yang perlu diperhatikan adalah perlindungan rantai pasok tidak cukup mengandalkan kepercayaan personal. Oleh karena itu, pengguna perlu memantau risiko komponen yang digunakan.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Dalam lingkungan bisnis berbasis perangkat lunak, penggunaan dependensi terbuka sering tidak terhindarkan. Banyak aplikasi memanfaatkan komponen perangkat lunak dari proyek lain. Pendekatan tersebut memungkinkan tim berfokus pada fitur utama. Namun demikian, keamanan aplikasi dipengaruhi komponen yang digunakan. Jika suatu pustaka kehilangan maintainer aktif, aplikasi dapat tetap menggunakan versi rentan. Risiko lanjutan tersebut berpotensi menambah biaya pemeliharaan.

Pentingnya tata kelola dependensi didukung oleh berbagai kajian keamanan perangkat lunak. Dalam penelitian State of Open Source tahun 2026 menyoroti kesulitan penanganan kerentanan bagi organisasi pengguna software terbuka. Kajian penggunaan open source tersebut, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Selain itu, 39 persen perusahaan besar mengalami kesulitan memenuhi target internal penanganan kerentanan. Temuan tersebut memperlihatkan perlunya proses yang lebih terstruktur. Dengan mempertimbangkan risiko tersebut, tim pengembang harus memahami perangkat lunak pihak ketiga dalam sistem.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Strategi dasar untuk memperkuat keamanan adalah membangun daftar pustaka dan framework dalam aplikasi. Tim keamanan bisa menerapkan inventaris perangkat lunak berbentuk SBOM untuk mendokumentasikan hubungan dependensi. Catatan komponen tersebut membantu menentukan risiko ketika celah ditemukan. Untuk memperoleh pemantauan yang lebih baik, terapkan software composition analysis yang memberikan informasi tentang pembaruan keamanan. Walaupun pemindaian otomatis bermanfaat, peringatan tidak boleh diperlakukan sama pentingnya. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan masalah dengan dampak operasional terbatas.

Di samping pengelolaan dependensi, perusahaan perlu mendukung proyek open source yang digunakan. Pendekatan kolaboratif ini dapat dilakukan melalui berbagai cara. Untuk membantu proyek penting, organisasi dapat mendanai pengelola, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Kolaborasi seperti itu mendorong distribusi pengetahuan teknis. Untuk menjaga keberlanjutan jangka panjang, mendorong penambahan pengelola tepercaya agar pemeliharaan tetap berlangsung ketika pengelola utama berhenti. Dengan pendekatan tersebut, risiko ketergantungan berlebihan berpotensi menurun.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Temuan mengenai 11 dari 23 proyek open source kritis menunjukkan tantangan penting dalam pengelolaan perangkat lunak sumber terbuka. Ketergantungan pada satu atau dua pengelola dapat meningkatkan risiko keterlambatan pembaruan. Meski kondisi tersebut perlu diperhatikan, keamanan tidak hanya ditentukan jumlah kontributor. Perusahaan perlu memeriksa perangkat lunak pihak ketiga, mengawasi kerentanan, serta berkontribusi dalam pemeliharaan open source. Dalam ekosistem digital yang semakin terhubung, perlindungan komponen kritis membutuhkan kolaborasi. Bagaimana pendapat Anda, apakah dukungan industri terhadap software open source sudah cukup memadai? Ceritakan pengalaman Anda mengenai tantangan pengelola proyek sumber terbuka.