Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Ekosistem perangkat lunak sumber terbuka menjadi fondasi utama dalam operasional infrastruktur komputasi. Mulai dari infrastruktur jaringan, sistem pengolahan data, hingga perangkat elektronik sehari-hari. Walaupun memiliki kontribusi besar, sejumlah proyek kritis tetap mengandalkan oleh jumlah pengelola yang sangat terbatas. Analisis proyek kritis yang dipublikasikan The Data Drop menunjukkan bahwa 11 dari 23 proyek bergantung pada maksimal dua pengelola. Informasi tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Penting dipahami bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan seluruh proyek open source di dunia.

Struktur pemeliharaan yang terbatas menjadi persoalan penting karena satu komponen dapat mendukung ribuan aplikasi. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, beban pemeliharaan dapat meningkat. Pengelola harus memeriksa laporan kesalahan, merilis pembaruan keamanan, serta menjawab kebutuhan komunitas. Rangkaian tanggung jawab tersebut menuntut ketersediaan tenaga yang memadai. Apabila dukungan pengembangan terbatas, keberlanjutan proyek mungkin terganggu. Dengan mempertimbangkan keadaan tersebut, organisasi pengguna perlu memahami kondisi proyek.

Masalah Pendanaan dan Beban Kerja Maintainer Open Source

Tantangan mendasar dalam keberlanjutan proyek open source adalah kurangnya dukungan finansial. Banyak perangkat lunak terbuka dikembangkan melalui kontribusi sukarela. Sementara itu, organisasi komersial sering menggunakan komponen yang sama untuk mengembangkan layanan kepada pelanggan. Kesenjangan kontribusi ini menimbulkan persoalan keberlanjutan. Dalam situasi yang mungkin terjadi, sebuah pustaka kecil dapat digunakan oleh banyak aplikasi, tetapi hanya dikelola seorang pengembang. Akibatnya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Selain persoalan pendanaan, maintainer open source sering menerima beban tanggung jawab tinggi. Perusahaan yang memanfaatkan pustaka dapat meminta penanganan segera ketika terjadi gangguan perangkat lunak. Meski permintaan terus berdatangan, pengelola belum tentu bekerja penuh waktu. Situasi kerja seperti ini berpotensi menyebabkan burnout. Ketika pengelola utama tidak lagi aktif, komunitas berpotensi kesulitan mencari pengganti. Dengan demikian, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Strategi pemeliharaan tersebut memberikan peluang keberlanjutan yang lebih baik.

Risiko Keamanan Ketika Proyek Open Source Hanya Dikelola Sedikit Orang

Ketergantungan proyek pada satu atau dua individu menciptakan tantangan dalam pengawasan perubahan kode. Tantangan keamanan yang paling relevan adalah kurangnya pemeriksaan silang. Dalam proyek yang sehat, kontribusi berpeluang mendapat evaluasi teknis tambahan. Namun, proyek dengan satu maintainer dapat kesulitan menerapkan pemeriksaan berlapis. Keterbatasan proses ini membuat perubahan berbahaya lebih sulit dikenali. Namun perlu dipahami, banyaknya pengembang bukan jaminan keamanan. Penilaian keamanan tetap harus mempertimbangkan mekanisme perlindungan akun, serta kecepatan perbaikan celah.

Risiko tambahan yang perlu diwaspadai adalah software supply chain attack. Dalam skenario serangan rantai pasok, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, dampaknya dapat meluas ke aplikasi pengguna. Insiden keamanan XZ Utils yang terungkap pada 2024 memperlihatkan potensi bahaya mengenai risiko penyusupan pada komponen infrastruktur. Pada kasus keamanan tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Pelajaran utamanya adalah keamanan membutuhkan proses review dan transparansi. Dengan demikian, organisasi perlu mengevaluasi dependensi secara rutin.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Untuk organisasi yang menjalankan aplikasi digital, penggunaan dependensi terbuka sering tidak terhindarkan. Sejumlah sistem perusahaan memanfaatkan komponen perangkat lunak dari proyek lain. Cara pengembangan ini memungkinkan tim berfokus pada fitur utama. Walaupun memberikan efisiensi, risiko pemeliharaan ikut menjadi tanggung jawab pengguna. Jika suatu pustaka tidak lagi menerima pembaruan keamanan, aplikasi dapat tetap menggunakan versi rentan. Risiko lanjutan tersebut dapat berupa gangguan layanan.

Perlunya pengelolaan pustaka pihak ketiga semakin mendapat perhatian dalam penelitian teknologi. Dalam penelitian State of Open Source tahun 2026 menyoroti kesulitan penanganan kerentanan bagi organisasi pengguna software terbuka. Survei industri itu, 20 persen organisasi melaporkan tidak adanya prosedur tertentu bagi kerentanan CVE. Sebagai temuan tambahan, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Temuan tersebut menunjukkan pentingnya kesiapan operasional. Dengan mempertimbangkan risiko tersebut, organisasi sebaiknya memetakan dependensi aplikasinya.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Langkah pertama yang dapat dilakukan adalah memetakan seluruh komponen open source yang digunakan. Perusahaan dapat menerapkan inventaris perangkat lunak berbentuk SBOM untuk mencatat komponen yang digunakan. Catatan komponen tersebut mendukung penelusuran dampak kerentanan. Sebagai langkah berikutnya, gunakan alat analisis komposisi perangkat lunak yang memberikan informasi tentang pembaruan keamanan. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Dalam evaluasi praktis, kerentanan yang dapat dieksploitasi pada sistem produksi perlu mendapat perhatian lebih besar dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Di samping pengelolaan dependensi, perusahaan sebaiknya berkontribusi terhadap keberlanjutan maintainer. Bentuk dukungan tersebut tidak selalu berupa sumbangan uang. Dalam penerapan nyata, organisasi dapat mendanai pengelola, mengalokasikan waktu karyawan untuk berkontribusi, serta meningkatkan kualitas dokumentasi. Dukungan tersebut membantu mempercepat perbaikan. Organisasi juga dapat, mendorong penambahan pengelola tepercaya agar proyek tidak bergantung pada satu individu. Berkat kerja sama antara pengguna dan pengembang, ekosistem open source dapat menjadi lebih tangguh.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek memperlihatkan persoalan keberlanjutan dalam perlindungan rantai pasok software. Konsentrasi tanggung jawab pada sedikit individu berpotensi melemahkan ketahanan pemeliharaan. Walaupun jumlah pengelola kecil menjadi indikator risiko, keamanan tidak hanya ditentukan jumlah kontributor. Perusahaan perlu memeriksa perangkat lunak pihak ketiga, menilai risiko penggunaan, serta berkontribusi dalam pemeliharaan open source. Seiring perkembangan TEKNOLOGI, keberlanjutan proyek menjadi kepentingan banyak pihak. Dari sudut pandang Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Ceritakan pengalaman Anda mengenai masa depan keberlanjutan infrastruktur digital.