Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat
Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.
Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas
Ekosistem perangkat lunak sumber terbuka menjadi fondasi utama dalam operasional infrastruktur komputasi. Penggunaannya mencakup sistem operasi server, aplikasi perusahaan, hingga perangkat elektronik sehari-hari. Namun demikian, banyak komponen penting masih bergantung oleh tim pemeliharaan berukuran kecil. Laporan yang dihimpun The Data Drop menunjukkan bahwa 11 dari 23 proyek hanya memiliki satu atau dua maintainer. Hasil pengamatan ini memperlihatkan keterbatasan sumber daya pemeliharaan. Namun harus dibedakan bahwa proporsi itu berasal dari sampel yang dikaji, bukan seluruh proyek open source di dunia.
Struktur pemeliharaan yang terbatas menjadi persoalan penting karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, risiko keterlambatan penanganan masalah bertambah. Maintainer sering perlu menangani keluhan pengguna, memastikan kompatibilitas versi, serta menjawab kebutuhan komunitas. Semua pekerjaan tersebut menuntut ketersediaan tenaga yang memadai. Ketika pengelola mengalami kelebihan beban, proses pembaruan berpotensi melambat. Dengan mempertimbangkan keadaan tersebut, organisasi pengguna perlu memahami kondisi proyek.
Masalah Pendanaan dan Beban Kerja Maintainer Open Source
Salah satu penyebab utama proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source dipelihara oleh individu tanpa pendanaan tetap. Padahal, perusahaan besar dapat memanfaatkan perangkat tersebut untuk menjalankan sistem produksi. Ketidakseimbangan tersebut menimbulkan persoalan keberlanjutan. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi belum memperoleh dukungan pendanaan yang stabil. Sebagai konsekuensinya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.
Tidak hanya berkaitan dengan uang, maintainer open source sering menerima beban tanggung jawab tinggi. Pengguna perangkat lunak mungkin mengharapkan perbaikan cepat ketika ditemukan kesalahan pada versi terbaru. Meski permintaan terus berdatangan, pengelola belum tentu bekerja penuh waktu. Situasi kerja seperti ini berpotensi menyebabkan burnout. Ketika pengelola utama tidak lagi aktif, komunitas berpotensi kesulitan mencari pengganti. Oleh sebab itu, pendanaan perlu disertai pembagian tanggung jawab. Langkah tersebut memberikan peluang keberlanjutan yang lebih baik.
Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka
Sedikitnya maintainer aktif dapat memperbesar sejumlah risiko keamanan. Salah satu risikonya adalah terbatasnya peninjauan kode. Dalam proyek yang sehat, kontribusi mungkin melalui proses persetujuan berlapis. Di sisi lain, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Kondisi pengawasan semacam itu membuat perubahan berbahaya lebih sulit dikenali. Walaupun risiko meningkat, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Penilaian keamanan tetap harus mempertimbangkan kualitas pengujian otomatis, serta pengelolaan rilis.
Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Jenis ancaman tersebut, pelaku mencoba memasukkan kode berbahaya ke dalam dependensi. Ketika perubahan berbahaya mencapai versi rilis, berbagai sistem hilir berpotensi terdampak. Upaya penyusupan terhadap XZ Utils tahun 2024 menjadi contoh penting mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Pada kasus keamanan tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Aspek yang perlu diperhatikan adalah keamanan membutuhkan proses review dan transparansi. Oleh karena itu, organisasi perlu mengevaluasi dependensi secara rutin.
Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan
Dalam lingkungan bisnis berbasis perangkat lunak, ketergantungan pada open source merupakan hal umum. Sejumlah sistem perusahaan memanfaatkan komponen perangkat lunak dari proyek lain. Penggunaan kode yang telah tersedia dapat mengurangi pekerjaan berulang. Walaupun memberikan efisiensi, ketahanan sistem bergantung pula pada kesehatan dependensi. Ketika komponen perangkat lunak penting mengalami keterlambatan perbaikan kerentanan, aplikasi dapat tetap menggunakan versi rentan. Risiko lanjutan tersebut berpotensi menambah biaya pemeliharaan.
Perlunya pengelolaan pustaka pihak ketiga juga tercermin dalam laporan industri. Dalam penelitian State of Open Source tahun 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi organisasi pengguna software terbuka. Survei industri itu, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Sebagai temuan tambahan, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Temuan tersebut menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Sebagai langkah pengendalian, tim pengembang harus memahami perangkat lunak pihak ketiga dalam sistem.
Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman
Strategi dasar untuk memperkuat keamanan adalah menyusun inventaris dependensi perangkat lunak. Perusahaan dapat menerapkan inventaris perangkat lunak berbentuk SBOM untuk mengidentifikasi versi pustaka. Informasi tersebut membantu menentukan risiko ketika celah ditemukan. Untuk memperoleh pemantauan yang lebih baik, terapkan software composition analysis yang mendeteksi paket dengan kerentanan diketahui. Meski alat tersebut dapat mempercepat pemeriksaan, penilaian risiko tetap membutuhkan analisis. Untuk menentukan prioritas, celah pada komponen yang benar-benar digunakan sebaiknya diprioritaskan untuk diperbaiki dibandingkan masalah dengan dampak operasional terbatas.
Tidak hanya mengandalkan pemindaian keamanan, perusahaan perlu mendukung proyek open source yang digunakan. Pendekatan kolaboratif ini mencakup dukungan finansial maupun teknis. Untuk membantu proyek penting, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Kolaborasi seperti itu dapat mengurangi tekanan maintainer. Untuk menjaga keberlanjutan jangka panjang, membantu regenerasi kontributor agar pengetahuan penting tidak terkonsentrasi. Dengan pendekatan tersebut, risiko ketergantungan berlebihan berpotensi menurun.
Masa Depan Keberlanjutan Proyek Open Source dalam Industri TEKNOLOGI
Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menjadi pengingat serius dalam pengelolaan perangkat lunak sumber terbuka. Terbatasnya jumlah maintainer aktif mungkin memperbesar beban penanganan keamanan. Walaupun jumlah pengelola kecil menjadi indikator risiko, tidak semua proyek kecil otomatis tidak aman. Perusahaan perlu memetakan dependensi, menerapkan pembaruan keamanan, serta membantu pendanaan maintainer. Di tengah meningkatnya ketergantungan pada perangkat lunak, keberlanjutan proyek menjadi kepentingan banyak pihak. Dari sudut pandang Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Bagikan pendapat Anda mengenai masa depan keberlanjutan infrastruktur digital.
