Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Kondisi Pemeliharaan Open Source Menjadi Perhatian Industri Teknologi

Ekosistem perangkat lunak sumber terbuka merupakan komponen mendasar dalam operasional infrastruktur komputasi. Dalam berbagai bidang seperti infrastruktur jaringan, aplikasi perusahaan, hingga produk digital yang digunakan masyarakat. Di balik pemanfaatannya yang luas, banyak komponen penting masih bergantung oleh tim pemeliharaan berukuran kecil. Laporan yang dihimpun The Data Drop mengidentifikasi sebanyak 11 proyek dari total 23 ditangani oleh satu hingga dua pemelihara. Temuan tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Namun harus dibedakan bahwa temuan ini merujuk pada daftar penelitian tersebut, bukan seluruh proyek open source di dunia.

Ketergantungan pada sedikit pengelola menimbulkan perhatian serius karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, beban pemeliharaan dapat meningkat. Pengelola harus menangani keluhan pengguna, merilis pembaruan keamanan, serta mempertahankan kualitas dokumentasi. Rangkaian tanggung jawab tersebut membutuhkan waktu dan perhatian. Jika sumber daya tidak mencukupi, proses pembaruan berpotensi melambat. Oleh karena itu, komunitas perlu membangun dukungan pemeliharaan yang berkelanjutan.

Mengapa Banyak Proyek Open Source Kritis Kekurangan Pengelola?

Salah satu penyebab utama proyek open source adalah minimnya sumber daya operasional. Berbagai komponen open source bergantung pada waktu luang pengembang. Di sisi penggunaan, perusahaan besar dapat memanfaatkan perangkat tersebut untuk mengembangkan layanan kepada pelanggan. Perbedaan antara tingkat pemanfaatan dan dukungan berpotensi menghambat pemeliharaan jangka panjang. Dalam situasi yang mungkin terjadi, sebuah pustaka kecil mungkin dipasang pada ribuan lingkungan perangkat lunak, tetapi hanya dikelola seorang pengembang. Dalam keadaan demikian, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Di luar keterbatasan finansial, maintainer open source sering menerima beban tanggung jawab tinggi. Komunitas pengguna proyek sering membutuhkan pembaruan kompatibilitas ketika ditemukan kesalahan pada versi terbaru. Meski permintaan terus berdatangan, pengelola tidak selalu mendapat bayaran untuk pemeliharaan. Kondisi tersebut dapat meningkatkan kelelahan mental. Apabila seorang maintainer berhenti, proses pemeliharaan mungkin kehilangan kesinambungan. Oleh sebab itu, dukungan finansial sebaiknya diikuti regenerasi maintainer. Strategi pemeliharaan tersebut membantu mengurangi ketergantungan pada individu.

Bagaimana Kekurangan Maintainer Meningkatkan Kerentanan Software?

Sedikitnya maintainer aktif dapat memperbesar sejumlah risiko keamanan. Persoalan pertama yang perlu diperhatikan adalah terbatasnya peninjauan kode. Pada pengembangan dengan tata kelola kuat, kontribusi berpeluang mendapat evaluasi teknis tambahan. Di sisi lain, proyek dengan satu maintainer dapat kesulitan menerapkan pemeriksaan berlapis. Kondisi pengawasan semacam itu membuat perubahan berbahaya lebih sulit dikenali. Namun perlu dipahami, proyek dengan sedikit pengelola belum tentu memiliki keamanan buruk. Faktor seperti mekanisme perlindungan akun, serta kecepatan perbaikan celah.

Risiko tambahan yang perlu diwaspadai adalah penyusupan melalui dependensi aplikasi. Jenis ancaman tersebut, pelaku menargetkan perangkat lunak yang dipercaya pengembang lain. Apabila berhasil, berbagai sistem hilir berpotensi terdampak. Kasus backdoor XZ Utils pada 2024 menjadi contoh penting mengenai ancaman terhadap proses pemeliharaan perangkat lunak. Dalam insiden tersebut, upaya memasukkan backdoor ke komponen penting ditemukan sebelum menyebar luas. Pelajaran utamanya adalah pengelolaan akses maintainer harus dilakukan hati-hati. Untuk mengurangi ancaman serupa, organisasi perlu mengevaluasi dependensi secara rutin.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Bagi perusahaan modern, pemanfaatan komponen sumber terbuka menjadi bagian penting infrastruktur. Berbagai layanan bisnis mengandalkan framework yang dikembangkan komunitas. Penggunaan kode yang telah tersedia dapat mengurangi pekerjaan berulang. Walaupun memberikan efisiensi, ketahanan sistem bergantung pula pada kesehatan dependensi. Jika suatu pustaka mengalami keterlambatan perbaikan kerentanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Konsekuensi operasionalnya berpotensi menambah biaya pemeliharaan.

Pentingnya tata kelola dependensi juga tercermin dalam laporan industri. Dalam penelitian State of Open Source tahun 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi berbagai tim teknologi informasi. Survei industri itu, 20 persen organisasi melaporkan tidak adanya prosedur tertentu bagi kerentanan CVE. Selain itu, 39 persen perusahaan besar mengalami kesulitan memenuhi target internal penanganan kerentanan. Temuan tersebut menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Oleh sebab itu, tim pengembang harus memahami perangkat lunak pihak ketiga dalam sistem.

Strategi Memperkuat Keamanan dan Keberlanjutan Proyek Open Source

Pendekatan awal yang cukup penting adalah menyusun inventaris dependensi perangkat lunak. Tim keamanan bisa menggunakan dokumen SBOM untuk mendokumentasikan hubungan dependensi. Data inventaris ini membantu menentukan risiko ketika celah ditemukan. Untuk memperoleh pemantauan yang lebih baik, manfaatkan pemindai dependensi yang membantu menemukan komponen berisiko. Namun demikian, penilaian risiko tetap membutuhkan analisis. Sebagai contoh, masalah yang memiliki dampak tinggi terhadap layanan sebaiknya diprioritaskan untuk diperbaiki dibandingkan temuan pada fitur yang tidak digunakan.

Di samping pengelolaan dependensi, perusahaan dapat membantu meningkatkan kesehatan ekosistem perangkat lunak. Bentuk dukungan tersebut tidak selalu berupa sumbangan uang. Sebagai contoh, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta berkontribusi pada sistem otomasi pemeriksaan. Kolaborasi seperti itu dapat mengurangi tekanan maintainer. Sebagai langkah tata kelola, membantu regenerasi kontributor agar pemeliharaan tetap berlangsung ketika pengelola utama berhenti. Dengan pendekatan tersebut, risiko ketergantungan berlebihan berpotensi menurun.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Temuan mengenai 11 dari 23 proyek open source kritis menunjukkan tantangan penting dalam perlindungan rantai pasok software. Konsentrasi tanggung jawab pada sedikit individu mungkin memperbesar beban penanganan keamanan. Meski kondisi tersebut perlu diperhatikan, tidak semua proyek kecil otomatis tidak aman. Perusahaan perlu menyusun inventaris komponen, menilai risiko penggunaan, serta membantu pendanaan maintainer. Dalam ekosistem digital yang semakin terhubung, keamanan open source merupakan tanggung jawab bersama. Bagaimana pendapat Anda, apakah organisasi sebaiknya menyediakan tenaga pengembang untuk membantu proyek terbuka? Bagikan pendapat Anda mengenai keamanan perangkat lunak open source.