Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Ekosistem perangkat lunak sumber terbuka merupakan komponen mendasar dalam operasional infrastruktur komputasi. Mulai dari sistem operasi server, sistem pengolahan data, hingga produk digital yang digunakan masyarakat. Namun demikian, sejumlah proyek kritis tetap mengandalkan oleh tim pemeliharaan berukuran kecil. Kajian mengenai keberlanjutan open source tersebut menunjukkan bahwa 11 dari 23 proyek ditangani oleh satu hingga dua pemelihara. Hasil pengamatan ini menunjukkan tingkat konsentrasi tanggung jawab yang tinggi. Namun harus dibedakan bahwa temuan ini merujuk pada daftar penelitian tersebut, bukan semua repositori kode sumber terbuka.

Ketergantungan pada sedikit pengelola menciptakan tantangan keberlanjutan karena satu komponen dapat mendukung ribuan aplikasi. Jika perangkat lunak penting hanya ditangani satu pengembang, risiko keterlambatan penanganan masalah bertambah. Pengelola harus memeriksa laporan kesalahan, memperbaiki kerentanan yang ditemukan, serta menjawab kebutuhan komunitas. Semua pekerjaan tersebut menuntut ketersediaan tenaga yang memadai. Apabila dukungan pengembangan terbatas, penanganan kerentanan dapat tertunda. Oleh karena itu, perusahaan sebaiknya memperhatikan kesehatan dependensi.

Penyebab Ketergantungan Infrastruktur Digital pada Kontributor Sukarela

Salah satu penyebab utama proyek open source adalah kurangnya dukungan finansial. Sejumlah proyek kode sumber terbuka dipelihara oleh individu tanpa pendanaan tetap. Padahal, berbagai layanan bisnis mengandalkan proyek tersebut untuk mengembangkan layanan kepada pelanggan. Perbedaan antara tingkat pemanfaatan dan dukungan menimbulkan persoalan keberlanjutan. Dalam situasi yang mungkin terjadi, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi belum memperoleh dukungan pendanaan yang stabil. Akibatnya, pengembangan fitur perlu bersaing dengan pekerjaan pemeliharaan.

Selain persoalan pendanaan, maintainer open source dapat mengalami kelelahan akibat banyaknya permintaan. Perusahaan yang memanfaatkan pustaka mungkin mengharapkan perbaikan cepat ketika terjadi gangguan perangkat lunak. Meski permintaan terus berdatangan, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Tekanan yang berlangsung terus-menerus mungkin mengurangi motivasi pengembangan. Ketika pengelola utama tidak lagi aktif, komunitas berpotensi kesulitan mencari pengganti. Oleh sebab itu, pendanaan perlu disertai pembagian tanggung jawab. Pendekatan yang berkelanjutan ini memberikan peluang keberlanjutan yang lebih baik.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Ketergantungan proyek pada satu atau dua individu dapat memperbesar sejumlah risiko keamanan. Persoalan pertama yang perlu diperhatikan adalah kecilnya kapasitas review perubahan perangkat lunak. Dalam proyek yang sehat, kontribusi dapat diperiksa oleh lebih dari satu orang. Namun, proyek dengan satu maintainer berpotensi melewatkan masalah karena keterbatasan waktu. Keterbatasan proses ini memperbesar risiko kerentanan bertahan lebih lama. Meski demikian, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Penilaian keamanan tetap harus mempertimbangkan mekanisme perlindungan akun, serta pengelolaan rilis.

Risiko tambahan yang perlu diwaspadai adalah software supply chain attack. Dalam skenario serangan rantai pasok, pelaku mencoba memasukkan kode berbahaya ke dalam dependensi. Jika serangan tersebut tidak terdeteksi, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Upaya penyusupan terhadap XZ Utils tahun 2024 memperlihatkan potensi bahaya mengenai ancaman terhadap proses pemeliharaan perangkat lunak. Dalam insiden tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Aspek yang perlu diperhatikan adalah perlindungan rantai pasok tidak cukup mengandalkan kepercayaan personal. Untuk mengurangi ancaman serupa, komunitas harus memperkuat tata kelola perubahan.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Untuk organisasi yang menjalankan aplikasi digital, pemanfaatan komponen sumber terbuka menjadi bagian penting infrastruktur. Berbagai layanan bisnis memanfaatkan komponen perangkat lunak dari proyek lain. Pendekatan tersebut dapat mengurangi pekerjaan berulang. Walaupun memberikan efisiensi, ketahanan sistem bergantung pula pada kesehatan dependensi. Ketika komponen perangkat lunak penting kehilangan maintainer aktif, tim keamanan berpotensi menghadapi pekerjaan tambahan. Konsekuensi operasionalnya dapat berupa gangguan layanan.

Pentingnya tata kelola dependensi juga tercermin dalam laporan industri. Laporan State of Open Source 2026 menyoroti kesulitan penanganan kerentanan bagi berbagai tim teknologi informasi. Survei industri itu, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Sebagai temuan tambahan, 39 persen perusahaan besar mengalami kesulitan memenuhi target internal penanganan kerentanan. Kondisi yang terungkap menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Oleh sebab itu, organisasi sebaiknya memetakan dependensi aplikasinya.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Strategi dasar untuk memperkuat keamanan adalah menyusun inventaris dependensi perangkat lunak. Tim keamanan bisa menggunakan dokumen SBOM untuk mendokumentasikan hubungan dependensi. Catatan komponen tersebut mempermudah pemeriksaan versi rentan. Sebagai langkah berikutnya, gunakan alat analisis komposisi perangkat lunak yang mendeteksi paket dengan kerentanan diketahui. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan temuan pada fitur yang tidak digunakan.

Selain memperkuat sistem internal, perusahaan sebaiknya berkontribusi terhadap keberlanjutan maintainer. Pendekatan kolaboratif ini mencakup dukungan finansial maupun teknis. Untuk membantu proyek penting, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta membantu pengujian keamanan. Kolaborasi seperti itu dapat mengurangi tekanan maintainer. Organisasi juga dapat, mendorong penambahan pengelola tepercaya agar proyek tidak bergantung pada satu individu. Dengan pendekatan tersebut, keamanan serta keberlanjutan dapat meningkat.

Masa Depan Keberlanjutan Proyek Open Source dalam Industri TEKNOLOGI

Temuan mengenai 11 dari 23 proyek open source kritis memperlihatkan persoalan keberlanjutan dalam perlindungan rantai pasok software. Terbatasnya jumlah maintainer aktif dapat meningkatkan risiko keterlambatan pembaruan. Meski kondisi tersebut perlu diperhatikan, tidak semua proyek kecil otomatis tidak aman. Pengguna perangkat lunak dianjurkan memetakan dependensi, menerapkan pembaruan keamanan, serta memberikan dukungan kepada proyek penting. Di tengah meningkatnya ketergantungan pada perangkat lunak, perlindungan komponen kritis membutuhkan kolaborasi. Bagaimana pendapat Anda, apakah organisasi sebaiknya menyediakan tenaga pengembang untuk membantu proyek terbuka? Ceritakan pengalaman Anda mengenai tantangan pengelola proyek sumber terbuka.