Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Kondisi Pemeliharaan Open Source Menjadi Perhatian Industri Teknologi

Perangkat lunak open source memiliki peranan penting dalam pembangunan berbagai aplikasi teknologi. Mulai dari infrastruktur jaringan, aplikasi perusahaan, hingga produk digital yang digunakan masyarakat. Di balik pemanfaatannya yang luas, beberapa fondasi digital ternyata ditangani oleh tim pemeliharaan berukuran kecil. Kajian mengenai keberlanjutan open source tersebut mengidentifikasi sebanyak 11 proyek dari total 23 hanya memiliki satu atau dua maintainer. Temuan tersebut menggambarkan ketergantungan pada sedikit individu. Perlu diperhatikan bahwa proporsi itu berasal dari sampel yang dikaji, bukan keseluruhan ekosistem perangkat lunak terbuka.

Kondisi tersebut menciptakan tantangan keberlanjutan karena perangkat lunak kritis digunakan banyak pihak. Ketika sebuah proyek memiliki jumlah pemelihara yang sangat kecil, beban pemeliharaan dapat meningkat. Maintainer sering perlu meninjau perubahan kode, merilis pembaruan keamanan, serta menjawab kebutuhan komunitas. Rangkaian tanggung jawab tersebut membutuhkan waktu dan perhatian. Ketika pengelola mengalami kelebihan beban, proses pembaruan berpotensi melambat. Untuk mengurangi ketergantungan berlebihan, organisasi pengguna perlu memahami kondisi proyek.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Salah satu penyebab utama proyek open source adalah minimnya sumber daya operasional. Berbagai komponen open source dipelihara oleh individu tanpa pendanaan tetap. Padahal, perusahaan besar dapat memanfaatkan perangkat tersebut untuk mendukung aktivitas operasional yang menghasilkan pendapatan. Ketidakseimbangan tersebut menimbulkan persoalan keberlanjutan. Dalam situasi yang mungkin terjadi, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi tidak memiliki tim keamanan khusus. Dalam keadaan demikian, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Tidak hanya berkaitan dengan uang, maintainer open source sering menerima beban tanggung jawab tinggi. Perusahaan yang memanfaatkan pustaka sering membutuhkan pembaruan kompatibilitas ketika muncul kerentanan keamanan. Namun, pengelola belum tentu bekerja penuh waktu. Situasi kerja seperti ini berpotensi menyebabkan burnout. Ketika pengelola utama tidak lagi aktif, komunitas berpotensi kesulitan mencari pengganti. Dengan demikian, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Strategi pemeliharaan tersebut mendorong transfer pengetahuan teknis.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Sedikitnya maintainer aktif berpotensi meningkatkan kelemahan tata kelola. Salah satu risikonya adalah kecilnya kapasitas review perubahan perangkat lunak. Jika tersedia beberapa pengelola aktif, kontribusi berpeluang mendapat evaluasi teknis tambahan. Sebaliknya, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Kondisi pengawasan semacam itu membuat perubahan berbahaya lebih sulit dikenali. Walaupun risiko meningkat, banyaknya pengembang bukan jaminan keamanan. Penilaian keamanan tetap harus mempertimbangkan mekanisme perlindungan akun, serta pengelolaan rilis.

Persoalan keamanan berikutnya adalah penyusupan melalui dependensi aplikasi. Dalam skenario serangan rantai pasok, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Jika serangan tersebut tidak terdeteksi, berbagai sistem hilir berpotensi terdampak. Insiden keamanan XZ Utils yang terungkap pada 2024 menjadi contoh penting mengenai risiko penyusupan pada komponen infrastruktur. Pada kasus keamanan tersebut, upaya memasukkan backdoor ke komponen penting ditemukan sebelum menyebar luas. Pelajaran utamanya adalah keamanan membutuhkan proses review dan transparansi. Oleh karena itu, komunitas harus memperkuat tata kelola perubahan.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Dalam lingkungan bisnis berbasis perangkat lunak, penggunaan dependensi terbuka sering tidak terhindarkan. Berbagai layanan bisnis dibangun menggunakan pustaka pihak ketiga. Pendekatan tersebut dapat mengurangi pekerjaan berulang. Meski memiliki keuntungan praktis, risiko pemeliharaan ikut menjadi tanggung jawab pengguna. Ketika komponen perangkat lunak penting mengalami keterlambatan perbaikan kerentanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Risiko lanjutan tersebut berpotensi menambah biaya pemeliharaan.

Pentingnya tata kelola dependensi didukung oleh berbagai kajian keamanan perangkat lunak. Dalam penelitian State of Open Source tahun 2026 menemukan bahwa patching masih menjadi persoalan penting bagi perusahaan yang mengandalkan open source. Kajian penggunaan open source tersebut, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Selain itu, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Kondisi yang terungkap memperlihatkan perlunya proses yang lebih terstruktur. Dengan mempertimbangkan risiko tersebut, perusahaan perlu mengetahui komponen yang digunakan.

Strategi Memperkuat Keamanan dan Keberlanjutan Proyek Open Source

Pendekatan awal yang cukup penting adalah menyusun inventaris dependensi perangkat lunak. Perusahaan dapat memanfaatkan Software Bill of Materials atau SBOM untuk mencatat komponen yang digunakan. Informasi tersebut mempermudah pemeriksaan versi rentan. Sebagai langkah berikutnya, manfaatkan pemindai dependensi yang mendeteksi paket dengan kerentanan diketahui. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Untuk menentukan prioritas, kerentanan yang dapat dieksploitasi pada sistem produksi sebaiknya diprioritaskan untuk diperbaiki dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan perlu mendukung proyek open source yang digunakan. Bentuk dukungan tersebut tidak selalu berupa sumbangan uang. Untuk membantu proyek penting, organisasi bisa menyediakan bantuan pendanaan, mengalokasikan waktu karyawan untuk berkontribusi, serta meningkatkan kualitas dokumentasi. Kontribusi berkelanjutan ini dapat mengurangi tekanan maintainer. Untuk menjaga keberlanjutan jangka panjang, membantu regenerasi kontributor agar pengetahuan penting tidak terkonsentrasi. Dengan pendekatan tersebut, keamanan serta keberlanjutan dapat meningkat.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek menunjukkan tantangan penting dalam perlindungan rantai pasok software. Terbatasnya jumlah maintainer aktif berpotensi melemahkan ketahanan pemeliharaan. Namun demikian, tidak semua proyek kecil otomatis tidak aman. Pengguna perangkat lunak dianjurkan memeriksa perangkat lunak pihak ketiga, mengawasi kerentanan, serta memberikan dukungan kepada proyek penting. Di tengah meningkatnya ketergantungan pada perangkat lunak, keamanan open source merupakan tanggung jawab bersama. Dari sudut pandang Anda, apakah organisasi sebaiknya menyediakan tenaga pengembang untuk membantu proyek terbuka? Sampaikan pandangan Anda mengenai tantangan pengelola proyek sumber terbuka.