Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Software dengan kode sumber terbuka merupakan komponen mendasar dalam pembangunan berbagai aplikasi teknologi. Penggunaannya mencakup layanan komputasi awan, aplikasi perusahaan, hingga berbagai perangkat terhubung internet. Walaupun memiliki kontribusi besar, beberapa fondasi digital ternyata ditangani oleh tim pemeliharaan berukuran kecil. Laporan yang dihimpun The Data Drop mengidentifikasi sebanyak 11 proyek dari total 23 hanya memiliki satu atau dua maintainer. Informasi tersebut menggambarkan ketergantungan pada sedikit individu. Penting dipahami bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan seluruh proyek open source di dunia.

Ketergantungan pada sedikit pengelola menimbulkan perhatian serius karena sebuah pustaka dapat menjadi fondasi berbagai produk. Jika perangkat lunak penting hanya ditangani satu pengembang, beban pemeliharaan dapat meningkat. Pengelola harus menangani keluhan pengguna, merilis pembaruan keamanan, serta mengelola kontribusi pengembang lain. Semua pekerjaan tersebut menuntut ketersediaan tenaga yang memadai. Ketika pengelola mengalami kelebihan beban, penanganan kerentanan dapat tertunda. Oleh karena itu, perusahaan sebaiknya memperhatikan kesehatan dependensi.

Masalah Pendanaan dan Beban Kerja Maintainer Open Source

Tantangan mendasar dalam keberlanjutan proyek open source adalah kurangnya dukungan finansial. Banyak perangkat lunak terbuka bergantung pada waktu luang pengembang. Di sisi penggunaan, berbagai layanan bisnis mengandalkan proyek tersebut untuk mengembangkan layanan kepada pelanggan. Kesenjangan kontribusi ini berpotensi menghambat pemeliharaan jangka panjang. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil berpotensi menjadi dependensi berbagai sistem, tetapi belum memperoleh dukungan pendanaan yang stabil. Akibatnya, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Di luar keterbatasan finansial, maintainer open source dapat mengalami kelelahan akibat banyaknya permintaan. Komunitas pengguna proyek mungkin mengharapkan perbaikan cepat ketika ditemukan kesalahan pada versi terbaru. Meski permintaan terus berdatangan, pengelola mungkin memiliki pekerjaan utama lain. Kondisi tersebut mungkin mengurangi motivasi pengembangan. Apabila seorang maintainer berhenti, pengetahuan teknis dapat sulit dialihkan. Untuk menjaga keberlangsungan proyek, pendanaan perlu disertai pembagian tanggung jawab. Langkah tersebut mendorong transfer pengetahuan teknis.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Ketergantungan proyek pada satu atau dua individu dapat memperbesar sejumlah risiko keamanan. Persoalan pertama yang perlu diperhatikan adalah terbatasnya peninjauan kode. Pada pengembangan dengan tata kelola kuat, kontribusi dapat diperiksa oleh lebih dari satu orang. Sebaliknya, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Situasi tersebut memperbesar risiko kerentanan bertahan lebih lama. Walaupun risiko meningkat, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Aspek yang juga menentukan mencakup kualitas pengujian otomatis, serta kecepatan perbaikan celah.

Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Serangan ini, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, berbagai sistem hilir berpotensi terdampak. Upaya penyusupan terhadap XZ Utils tahun 2024 menjadi contoh penting mengenai risiko penyusupan pada komponen infrastruktur. Pada kasus keamanan tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Pelajaran utamanya adalah pengelolaan akses maintainer harus dilakukan hati-hati. Oleh karena itu, organisasi perlu mengevaluasi dependensi secara rutin.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Bagi perusahaan modern, penggunaan dependensi terbuka sering tidak terhindarkan. Berbagai layanan bisnis dibangun menggunakan pustaka pihak ketiga. Cara pengembangan ini dapat mengurangi pekerjaan berulang. Namun demikian, risiko pemeliharaan ikut menjadi tanggung jawab pengguna. Apabila sebuah framework kehilangan maintainer aktif, aplikasi dapat tetap menggunakan versi rentan. Dampaknya dapat berupa gangguan layanan.

Kebutuhan pemantauan komponen terbuka didukung oleh berbagai kajian keamanan perangkat lunak. Berdasarkan survei industri open source 2026 menemukan bahwa patching masih menjadi persoalan penting bagi perusahaan yang mengandalkan open source. Kajian penggunaan open source tersebut, 20 persen organisasi menyatakan belum memiliki proses khusus untuk merespons CVE. Sebagai temuan tambahan, 39 persen perusahaan besar melaporkan masalah dalam menyelesaikan remediasi sesuai tenggat internal. Hasil survei ini memperlihatkan perlunya proses yang lebih terstruktur. Oleh sebab itu, perusahaan perlu mengetahui komponen yang digunakan.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Strategi dasar untuk memperkuat keamanan adalah membangun daftar pustaka dan framework dalam aplikasi. Perusahaan dapat menggunakan dokumen SBOM untuk mengidentifikasi versi pustaka. Catatan komponen tersebut membantu menentukan risiko ketika celah ditemukan. Selain itu, gunakan alat analisis komposisi perangkat lunak yang memberikan informasi tentang pembaruan keamanan. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Sebagai contoh, celah pada komponen yang benar-benar digunakan perlu mendapat perhatian lebih besar dibandingkan masalah dengan dampak operasional terbatas.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan perlu mendukung proyek open source yang digunakan. Kontribusi yang dapat diberikan dapat dilakukan melalui berbagai cara. Sebagai contoh, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta berkontribusi pada sistem otomasi pemeriksaan. Kontribusi berkelanjutan ini mendorong distribusi pengetahuan teknis. Untuk menjaga keberlanjutan jangka panjang, mendorong penambahan pengelola tepercaya agar pemeliharaan tetap berlangsung ketika pengelola utama berhenti. Dengan pendekatan tersebut, ekosistem open source dapat menjadi lebih tangguh.

Masa Depan Keberlanjutan Proyek Open Source dalam Industri TEKNOLOGI

Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menunjukkan tantangan penting dalam pemeliharaan infrastruktur digital. Ketergantungan pada satu atau dua pengelola mungkin memperbesar beban penanganan keamanan. Meski kondisi tersebut perlu diperhatikan, kualitas tata kelola tetap menjadi faktor penting. Pengguna perangkat lunak dianjurkan memeriksa perangkat lunak pihak ketiga, mengawasi kerentanan, serta memberikan dukungan kepada proyek penting. Dalam ekosistem digital yang semakin terhubung, keamanan open source merupakan tanggung jawab bersama. Bagaimana pendapat Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Ceritakan pengalaman Anda mengenai tantangan pengelola proyek sumber terbuka.