Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Kondisi Pemeliharaan Open Source Menjadi Perhatian Industri Teknologi

Software dengan kode sumber terbuka menjadi fondasi utama dalam operasional infrastruktur komputasi. Mulai dari sistem operasi server, aplikasi perusahaan, hingga produk digital yang digunakan masyarakat. Di balik pemanfaatannya yang luas, beberapa fondasi digital ternyata ditangani oleh tim pemeliharaan berukuran kecil. Kajian mengenai keberlanjutan open source tersebut mengidentifikasi sebanyak 11 proyek dari total 23 bergantung pada maksimal dua pengelola. Hasil pengamatan ini memperlihatkan keterbatasan sumber daya pemeliharaan. Perlu diperhatikan bahwa temuan ini merujuk pada daftar penelitian tersebut, bukan keseluruhan ekosistem perangkat lunak terbuka.

Ketergantungan pada sedikit pengelola menimbulkan perhatian serius karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen memiliki jumlah pemelihara yang sangat kecil, tanggung jawab pengembangan menjadi terkonsentrasi. Pengelola harus menangani keluhan pengguna, memastikan kompatibilitas versi, serta menjawab kebutuhan komunitas. Semua pekerjaan tersebut menuntut ketersediaan tenaga yang memadai. Jika sumber daya tidak mencukupi, penanganan kerentanan dapat tertunda. Untuk mengurangi ketergantungan berlebihan, organisasi pengguna perlu memahami kondisi proyek.

Mengapa Banyak Proyek Open Source Kritis Kekurangan Pengelola?

Faktor penting yang sering memengaruhi proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source dipelihara oleh individu tanpa pendanaan tetap. Padahal, organisasi komersial sering menggunakan komponen yang sama untuk mengembangkan layanan kepada pelanggan. Ketidakseimbangan tersebut berpotensi menghambat pemeliharaan jangka panjang. Untuk menggambarkan tantangan tersebut, sebuah pustaka kecil dapat digunakan oleh banyak aplikasi, tetapi belum memperoleh dukungan pendanaan yang stabil. Dalam keadaan demikian, perbaikan masalah bergantung pada ketersediaan waktu pengelola.

Selain persoalan pendanaan, maintainer open source juga menghadapi tekanan pekerjaan. Perusahaan yang memanfaatkan pustaka dapat meminta penanganan segera ketika ditemukan kesalahan pada versi terbaru. Namun, pengelola mungkin memiliki pekerjaan utama lain. Kondisi tersebut mungkin mengurangi motivasi pengembangan. Jika kontributor inti meninggalkan proyek, komunitas berpotensi kesulitan mencari pengganti. Dengan demikian, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Langkah tersebut mendorong transfer pengetahuan teknis.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Sedikitnya maintainer aktif menciptakan tantangan dalam pengawasan perubahan kode. Salah satu risikonya adalah kurangnya pemeriksaan silang. Dalam proyek yang sehat, kontribusi dapat diperiksa oleh lebih dari satu orang. Namun, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Keterbatasan proses ini membuat perubahan berbahaya lebih sulit dikenali. Namun perlu dipahami, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Faktor seperti kualitas pengujian otomatis, serta kecepatan perbaikan celah.

Persoalan keamanan berikutnya adalah serangan terhadap rantai pasok perangkat lunak. Serangan ini, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Kasus backdoor XZ Utils pada 2024 menjadi contoh penting mengenai ancaman terhadap proses pemeliharaan perangkat lunak. Pada kasus keamanan tersebut, mekanisme serangan terhadap paket perangkat lunak berhasil diungkap. Aspek yang perlu diperhatikan adalah keamanan membutuhkan proses review dan transparansi. Untuk mengurangi ancaman serupa, komunitas harus memperkuat tata kelola perubahan.

Risiko Bisnis Jika Software Kritis Tidak Mendapat Pembaruan Keamanan

Dalam lingkungan bisnis berbasis perangkat lunak, ketergantungan pada open source merupakan hal umum. Banyak aplikasi memanfaatkan komponen perangkat lunak dari proyek lain. Pendekatan tersebut membantu mempercepat pembangunan aplikasi. Meski memiliki keuntungan praktis, ketahanan sistem bergantung pula pada kesehatan dependensi. Apabila sebuah framework tidak lagi menerima pembaruan keamanan, tim keamanan berpotensi menghadapi pekerjaan tambahan. Dampaknya dapat berupa gangguan layanan.

Perlunya pengelolaan pustaka pihak ketiga juga tercermin dalam laporan industri. Berdasarkan survei industri open source 2026 menemukan bahwa patching masih menjadi persoalan penting bagi perusahaan yang mengandalkan open source. Survei industri itu, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Selain itu, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Temuan tersebut menggarisbawahi kebutuhan pengelolaan keamanan berkelanjutan. Sebagai langkah pengendalian, perusahaan perlu mengetahui komponen yang digunakan.

Cara Perusahaan Mendukung Maintainer serta Mengurangi Risiko Software

Strategi dasar untuk memperkuat keamanan adalah memetakan seluruh komponen open source yang digunakan. Tim keamanan bisa menerapkan inventaris perangkat lunak berbentuk SBOM untuk mendokumentasikan hubungan dependensi. Informasi tersebut mendukung penelusuran dampak kerentanan. Selain itu, terapkan software composition analysis yang mendeteksi paket dengan kerentanan diketahui. Namun demikian, hasilnya perlu dievaluasi berdasarkan konteks. Untuk menentukan prioritas, celah pada komponen yang benar-benar digunakan sebaiknya diprioritaskan untuk diperbaiki dibandingkan temuan pada fitur yang tidak digunakan.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan sebaiknya berkontribusi terhadap keberlanjutan maintainer. Pendekatan kolaboratif ini tidak selalu berupa sumbangan uang. Sebagai contoh, organisasi dapat mendanai pengelola, mengalokasikan waktu karyawan untuk berkontribusi, serta berkontribusi pada sistem otomasi pemeriksaan. Kontribusi berkelanjutan ini dapat mengurangi tekanan maintainer. Untuk menjaga keberlanjutan jangka panjang, mendorong penambahan pengelola tepercaya agar proyek tidak bergantung pada satu individu. Melalui strategi yang saling mendukung, ekosistem open source dapat menjadi lebih tangguh.

Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital

Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menunjukkan tantangan penting dalam perlindungan rantai pasok software. Terbatasnya jumlah maintainer aktif dapat meningkatkan risiko keterlambatan pembaruan. Meski kondisi tersebut perlu diperhatikan, keamanan tidak hanya ditentukan jumlah kontributor. Pengguna perangkat lunak dianjurkan memeriksa perangkat lunak pihak ketiga, menerapkan pembaruan keamanan, serta memberikan dukungan kepada proyek penting. Seiring perkembangan TEKNOLOGI, keamanan open source merupakan tanggung jawab bersama. Dari sudut pandang Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Sampaikan pandangan Anda mengenai keamanan perangkat lunak open source.