Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Kondisi Pemeliharaan Open Source Menjadi Perhatian Industri Teknologi

Perangkat lunak open source merupakan komponen mendasar dalam operasional infrastruktur komputasi. Penggunaannya mencakup layanan komputasi awan, platform pengembangan perangkat lunak, hingga perangkat elektronik sehari-hari. Di balik pemanfaatannya yang luas, beberapa fondasi digital ternyata ditangani oleh sedikit kontributor aktif. Laporan yang dihimpun The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak ditangani oleh satu hingga dua pemelihara. Temuan tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Namun harus dibedakan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan keseluruhan ekosistem perangkat lunak terbuka.

Ketergantungan pada sedikit pengelola menjadi persoalan penting karena satu komponen dapat mendukung ribuan aplikasi. Apabila suatu komponen hanya ditangani satu pengembang, beban pemeliharaan dapat meningkat. Pengelola harus meninjau perubahan kode, merilis pembaruan keamanan, serta mempertahankan kualitas dokumentasi. Aktivitas pemeliharaan yang beragam membutuhkan waktu dan perhatian. Jika sumber daya tidak mencukupi, proses pembaruan berpotensi melambat. Oleh karena itu, organisasi pengguna perlu memahami kondisi proyek.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Salah satu penyebab utama proyek open source adalah keterbatasan pendanaan. Banyak perangkat lunak terbuka dipelihara oleh individu tanpa pendanaan tetap. Di sisi penggunaan, organisasi komersial sering menggunakan komponen yang sama untuk mendukung aktivitas operasional yang menghasilkan pendapatan. Ketidakseimbangan tersebut berpotensi menghambat pemeliharaan jangka panjang. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi hanya dikelola seorang pengembang. Dalam keadaan demikian, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Di luar keterbatasan finansial, maintainer open source sering menerima beban tanggung jawab tinggi. Komunitas pengguna proyek sering membutuhkan pembaruan kompatibilitas ketika ditemukan kesalahan pada versi terbaru. Meski permintaan terus berdatangan, pengelola mungkin memiliki pekerjaan utama lain. Kondisi tersebut berpotensi menyebabkan burnout. Ketika pengelola utama tidak lagi aktif, pengetahuan teknis dapat sulit dialihkan. Untuk menjaga keberlangsungan proyek, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Pendekatan yang berkelanjutan ini mendorong transfer pengetahuan teknis.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Jumlah pengelola yang terbatas menciptakan tantangan dalam pengawasan perubahan kode. Tantangan keamanan yang paling relevan adalah kecilnya kapasitas review perubahan perangkat lunak. Jika tersedia beberapa pengelola aktif, kontribusi berpeluang mendapat evaluasi teknis tambahan. Namun, proyek dengan satu maintainer dapat kesulitan menerapkan pemeriksaan berlapis. Situasi tersebut memperbesar risiko kerentanan bertahan lebih lama. Namun perlu dipahami, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Faktor seperti mekanisme perlindungan akun, serta kecepatan perbaikan celah.

Persoalan keamanan berikutnya adalah serangan terhadap rantai pasok perangkat lunak. Dalam skenario serangan rantai pasok, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, berbagai sistem hilir berpotensi terdampak. Insiden keamanan XZ Utils yang terungkap pada 2024 memperlihatkan potensi bahaya mengenai ancaman terhadap proses pemeliharaan perangkat lunak. Pada kasus keamanan tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Aspek yang perlu diperhatikan adalah perlindungan rantai pasok tidak cukup mengandalkan kepercayaan personal. Untuk mengurangi ancaman serupa, komunitas harus memperkuat tata kelola perubahan.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Bagi perusahaan modern, ketergantungan pada open source merupakan hal umum. Berbagai layanan bisnis dibangun menggunakan pustaka pihak ketiga. Pendekatan tersebut membantu mempercepat pembangunan aplikasi. Meski memiliki keuntungan praktis, ketahanan sistem bergantung pula pada kesehatan dependensi. Ketika komponen perangkat lunak penting tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Dampaknya mungkin meningkatkan paparan serangan siber.

Kebutuhan pemantauan komponen terbuka juga tercermin dalam laporan industri. Laporan State of Open Source 2026 menyoroti kesulitan penanganan kerentanan bagi perusahaan yang mengandalkan open source. Dalam penelitian tersebut, 20 persen organisasi menyatakan belum memiliki proses khusus untuk merespons CVE. Sebagai temuan tambahan, 39 persen perusahaan besar mengalami kesulitan memenuhi target internal penanganan kerentanan. Temuan tersebut menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Dengan mempertimbangkan risiko tersebut, organisasi sebaiknya memetakan dependensi aplikasinya.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Pendekatan awal yang cukup penting adalah memetakan seluruh komponen open source yang digunakan. Tim keamanan bisa menerapkan inventaris perangkat lunak berbentuk SBOM untuk mengidentifikasi versi pustaka. Data inventaris ini mendukung penelusuran dampak kerentanan. Untuk memperoleh pemantauan yang lebih baik, terapkan software composition analysis yang membantu menemukan komponen berisiko. Namun demikian, peringatan tidak boleh diperlakukan sama pentingnya. Dalam evaluasi praktis, masalah yang memiliki dampak tinggi terhadap layanan membutuhkan tindakan lebih cepat dibandingkan masalah dengan dampak operasional terbatas.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan dapat membantu meningkatkan kesehatan ekosistem perangkat lunak. Bentuk dukungan tersebut tidak selalu berupa sumbangan uang. Dalam penerapan nyata, organisasi dapat mendanai pengelola, mendukung pekerjaan pemeliharaan melalui tenaga teknis, serta berkontribusi pada sistem otomasi pemeriksaan. Kolaborasi seperti itu dapat mengurangi tekanan maintainer. Organisasi juga dapat, mendorong penambahan pengelola tepercaya agar pengetahuan penting tidak terkonsentrasi. Melalui strategi yang saling mendukung, keamanan serta keberlanjutan dapat meningkat.

Masa Depan Keberlanjutan Proyek Open Source dalam Industri TEKNOLOGI

Temuan mengenai 11 dari 23 proyek open source kritis menjadi pengingat serius dalam pengelolaan perangkat lunak sumber terbuka. Terbatasnya jumlah maintainer aktif dapat meningkatkan risiko keterlambatan pembaruan. Meski kondisi tersebut perlu diperhatikan, tidak semua proyek kecil otomatis tidak aman. Organisasi sebaiknya menyusun inventaris komponen, menerapkan pembaruan keamanan, serta berkontribusi dalam pemeliharaan open source. Di tengah meningkatnya ketergantungan pada perangkat lunak, perlindungan komponen kritis membutuhkan kolaborasi. Menurut Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Ceritakan pengalaman Anda mengenai tantangan pengelola proyek sumber terbuka.