Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Software dengan kode sumber terbuka memiliki peranan penting dalam pengembangan layanan digital modern. Penggunaannya mencakup sistem operasi server, sistem pengolahan data, hingga produk digital yang digunakan masyarakat. Namun demikian, beberapa fondasi digital ternyata ditangani oleh tim pemeliharaan berukuran kecil. Analisis proyek kritis yang dipublikasikan The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak hanya memiliki satu atau dua maintainer. Hasil pengamatan ini menggambarkan ketergantungan pada sedikit individu. Namun harus dibedakan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan keseluruhan ekosistem perangkat lunak terbuka.

Ketergantungan pada sedikit pengelola menimbulkan perhatian serius karena satu komponen dapat mendukung ribuan aplikasi. Ketika sebuah proyek bergantung pada dua maintainer aktif, beban pemeliharaan dapat meningkat. Tim kecil tersebut biasanya dituntut untuk menangani keluhan pengguna, memastikan kompatibilitas versi, serta mempertahankan kualitas dokumentasi. Rangkaian tanggung jawab tersebut membutuhkan waktu dan perhatian. Ketika pengelola mengalami kelebihan beban, keberlanjutan proyek mungkin terganggu. Untuk mengurangi ketergantungan berlebihan, organisasi pengguna perlu memahami kondisi proyek.

Mengapa Banyak Proyek Open Source Kritis Kekurangan Pengelola?

Tantangan mendasar dalam keberlanjutan proyek open source adalah keterbatasan pendanaan. Banyak perangkat lunak terbuka dikembangkan melalui kontribusi sukarela. Di sisi penggunaan, berbagai layanan bisnis mengandalkan proyek tersebut untuk mendukung aktivitas operasional yang menghasilkan pendapatan. Perbedaan antara tingkat pemanfaatan dan dukungan dapat memperbesar tekanan terhadap maintainer. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi tidak memiliki tim keamanan khusus. Akibatnya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Tidak hanya berkaitan dengan uang, maintainer open source sering menerima beban tanggung jawab tinggi. Pengguna perangkat lunak sering membutuhkan pembaruan kompatibilitas ketika muncul kerentanan keamanan. Di sisi lain, pengelola mungkin memiliki pekerjaan utama lain. Tekanan yang berlangsung terus-menerus berpotensi menyebabkan burnout. Jika kontributor inti meninggalkan proyek, pengetahuan teknis dapat sulit dialihkan. Untuk menjaga keberlangsungan proyek, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Langkah tersebut memberikan peluang keberlanjutan yang lebih baik.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Ketergantungan proyek pada satu atau dua individu dapat memperbesar sejumlah risiko keamanan. Persoalan pertama yang perlu diperhatikan adalah kecilnya kapasitas review perubahan perangkat lunak. Dalam proyek yang sehat, kontribusi dapat diperiksa oleh lebih dari satu orang. Di sisi lain, proyek dengan satu maintainer dapat kesulitan menerapkan pemeriksaan berlapis. Situasi tersebut dapat meningkatkan kemungkinan kesalahan tidak terdeteksi. Meski demikian, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Faktor seperti kualitas pengujian otomatis, serta kemampuan merespons laporan kerentanan.

Ancaman lainnya adalah serangan terhadap rantai pasok perangkat lunak. Jenis ancaman tersebut, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Apabila berhasil, dampaknya dapat meluas ke aplikasi pengguna. Kasus backdoor XZ Utils pada 2024 memperlihatkan potensi bahaya mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Melalui peristiwa tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Kesimpulan penting dari contoh tersebut adalah keamanan membutuhkan proses review dan transparansi. Oleh karena itu, pengguna perlu memantau risiko komponen yang digunakan.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Dalam lingkungan bisnis berbasis perangkat lunak, penggunaan dependensi terbuka sering tidak terhindarkan. Banyak aplikasi mengandalkan framework yang dikembangkan komunitas. Pendekatan tersebut membantu mempercepat pembangunan aplikasi. Namun demikian, keamanan aplikasi dipengaruhi komponen yang digunakan. Ketika komponen perangkat lunak penting tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Dampaknya berpotensi menambah biaya pemeliharaan.

Kebutuhan pemantauan komponen terbuka semakin mendapat perhatian dalam penelitian teknologi. Laporan State of Open Source 2026 menyoroti kesulitan penanganan kerentanan bagi berbagai tim teknologi informasi. Survei industri itu, 20 persen organisasi melaporkan tidak adanya prosedur tertentu bagi kerentanan CVE. Selain itu, 39 persen perusahaan besar mengalami kesulitan memenuhi target internal penanganan kerentanan. Temuan tersebut memperlihatkan perlunya proses yang lebih terstruktur. Dengan mempertimbangkan risiko tersebut, perusahaan perlu mengetahui komponen yang digunakan.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Langkah pertama yang dapat dilakukan adalah membangun daftar pustaka dan framework dalam aplikasi. Tim keamanan bisa menggunakan dokumen SBOM untuk mengidentifikasi versi pustaka. Catatan komponen tersebut mempermudah pemeriksaan versi rentan. Selain itu, manfaatkan pemindai dependensi yang mendeteksi paket dengan kerentanan diketahui. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Dalam evaluasi praktis, kerentanan yang dapat dieksploitasi pada sistem produksi perlu mendapat perhatian lebih besar dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan perlu mendukung proyek open source yang digunakan. Bentuk dukungan tersebut dapat dilakukan melalui berbagai cara. Dalam penerapan nyata, organisasi berpeluang memberikan sponsor rutin, mendukung pekerjaan pemeliharaan melalui tenaga teknis, serta membantu pengujian keamanan. Kontribusi berkelanjutan ini membantu mempercepat perbaikan. Organisasi juga dapat, memperkuat proses transfer tanggung jawab agar pengetahuan penting tidak terkonsentrasi. Melalui strategi yang saling mendukung, keamanan serta keberlanjutan dapat meningkat.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek memperlihatkan persoalan keberlanjutan dalam pengelolaan perangkat lunak sumber terbuka. Konsentrasi tanggung jawab pada sedikit individu mungkin memperbesar beban penanganan keamanan. Meski kondisi tersebut perlu diperhatikan, kualitas tata kelola tetap menjadi faktor penting. Perusahaan perlu menyusun inventaris komponen, menerapkan pembaruan keamanan, serta berkontribusi dalam pemeliharaan open source. Di tengah meningkatnya ketergantungan pada perangkat lunak, keberlanjutan proyek menjadi kepentingan banyak pihak. Dari sudut pandang Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Sampaikan pandangan Anda mengenai tantangan pengelola proyek sumber terbuka.