Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Ekosistem perangkat lunak sumber terbuka memiliki peranan penting dalam pengembangan layanan digital modern. Dalam berbagai bidang seperti sistem operasi server, platform pengembangan perangkat lunak, hingga berbagai perangkat terhubung internet. Di balik pemanfaatannya yang luas, beberapa fondasi digital ternyata ditangani oleh sedikit kontributor aktif. Analisis proyek kritis yang dipublikasikan The Data Drop menunjukkan bahwa 11 dari 23 proyek ditangani oleh satu hingga dua pemelihara. Hasil pengamatan ini memperlihatkan keterbatasan sumber daya pemeliharaan. Namun harus dibedakan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan seluruh proyek open source di dunia.

Ketergantungan pada sedikit pengelola menjadi persoalan penting karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, risiko keterlambatan penanganan masalah bertambah. Pengelola harus menangani keluhan pengguna, memperbaiki kerentanan yang ditemukan, serta mempertahankan kualitas dokumentasi. Rangkaian tanggung jawab tersebut membutuhkan waktu dan perhatian. Jika sumber daya tidak mencukupi, keberlanjutan proyek mungkin terganggu. Dengan mempertimbangkan keadaan tersebut, organisasi pengguna perlu memahami kondisi proyek.

Masalah Pendanaan dan Beban Kerja Maintainer Open Source

Salah satu penyebab utama proyek open source adalah kurangnya dukungan finansial. Berbagai komponen open source dikembangkan melalui kontribusi sukarela. Sementara itu, perusahaan besar dapat memanfaatkan perangkat tersebut untuk mengembangkan layanan kepada pelanggan. Kesenjangan kontribusi ini menimbulkan persoalan keberlanjutan. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi belum memperoleh dukungan pendanaan yang stabil. Dalam keadaan demikian, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Di luar keterbatasan finansial, maintainer open source dapat mengalami kelelahan akibat banyaknya permintaan. Komunitas pengguna proyek mungkin mengharapkan perbaikan cepat ketika muncul kerentanan keamanan. Namun, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Situasi kerja seperti ini berpotensi menyebabkan burnout. Ketika pengelola utama tidak lagi aktif, pengetahuan teknis dapat sulit dialihkan. Dengan demikian, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Langkah tersebut membantu mengurangi ketergantungan pada individu.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Sedikitnya maintainer aktif menciptakan tantangan dalam pengawasan perubahan kode. Tantangan keamanan yang paling relevan adalah terbatasnya peninjauan kode. Dalam proyek yang sehat, kontribusi berpeluang mendapat evaluasi teknis tambahan. Namun, proyek dengan satu maintainer berpotensi melewatkan masalah karena keterbatasan waktu. Situasi tersebut membuat perubahan berbahaya lebih sulit dikenali. Namun perlu dipahami, banyaknya pengembang bukan jaminan keamanan. Faktor seperti prosedur persetujuan perubahan, serta kemampuan merespons laporan kerentanan.

Persoalan keamanan berikutnya adalah penyusupan melalui dependensi aplikasi. Dalam skenario serangan rantai pasok, pelaku mencoba memasukkan kode berbahaya ke dalam dependensi. Jika serangan tersebut tidak terdeteksi, berbagai sistem hilir berpotensi terdampak. Insiden keamanan XZ Utils yang terungkap pada 2024 menjadi contoh penting mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Dalam insiden tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Aspek yang perlu diperhatikan adalah pengelolaan akses maintainer harus dilakukan hati-hati. Untuk mengurangi ancaman serupa, organisasi perlu mengevaluasi dependensi secara rutin.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Bagi perusahaan modern, ketergantungan pada open source merupakan hal umum. Sejumlah sistem perusahaan dibangun menggunakan pustaka pihak ketiga. Pendekatan tersebut dapat mengurangi pekerjaan berulang. Meski memiliki keuntungan praktis, risiko pemeliharaan ikut menjadi tanggung jawab pengguna. Jika suatu pustaka tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Konsekuensi operasionalnya dapat berupa gangguan layanan.

Perlunya pengelolaan pustaka pihak ketiga semakin mendapat perhatian dalam penelitian teknologi. Laporan State of Open Source 2026 menemukan bahwa patching masih menjadi persoalan penting bagi organisasi pengguna software terbuka. Survei industri itu, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Selain itu, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Kondisi yang terungkap memperlihatkan perlunya proses yang lebih terstruktur. Oleh sebab itu, organisasi sebaiknya memetakan dependensi aplikasinya.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Pendekatan awal yang cukup penting adalah membangun daftar pustaka dan framework dalam aplikasi. Tim keamanan bisa menerapkan inventaris perangkat lunak berbentuk SBOM untuk mencatat komponen yang digunakan. Catatan komponen tersebut membantu menentukan risiko ketika celah ditemukan. Selain itu, terapkan software composition analysis yang memberikan informasi tentang pembaruan keamanan. Meski alat tersebut dapat mempercepat pemeriksaan, hasilnya perlu dievaluasi berdasarkan konteks. Untuk menentukan prioritas, kerentanan yang dapat dieksploitasi pada sistem produksi membutuhkan tindakan lebih cepat dibandingkan temuan pada fitur yang tidak digunakan.

Di samping pengelolaan dependensi, perusahaan sebaiknya berkontribusi terhadap keberlanjutan maintainer. Kontribusi yang dapat diberikan tidak selalu berupa sumbangan uang. Untuk membantu proyek penting, organisasi dapat mendanai pengelola, menugaskan pengembang memperbaiki masalah, serta meningkatkan kualitas dokumentasi. Kolaborasi seperti itu mendorong distribusi pengetahuan teknis. Sebagai langkah tata kelola, membantu regenerasi kontributor agar pengetahuan penting tidak terkonsentrasi. Berkat kerja sama antara pengguna dan pengembang, keamanan serta keberlanjutan dapat meningkat.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menjadi pengingat serius dalam perlindungan rantai pasok software. Ketergantungan pada satu atau dua pengelola dapat meningkatkan risiko keterlambatan pembaruan. Namun demikian, tidak semua proyek kecil otomatis tidak aman. Pengguna perangkat lunak dianjurkan memeriksa perangkat lunak pihak ketiga, mengawasi kerentanan, serta membantu pendanaan maintainer. Dalam ekosistem digital yang semakin terhubung, perlindungan komponen kritis membutuhkan kolaborasi. Menurut Anda, apakah dukungan industri terhadap software open source sudah cukup memadai? Ceritakan pengalaman Anda mengenai keamanan perangkat lunak open source.