Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat
Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.
Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas
Software dengan kode sumber terbuka memiliki peranan penting dalam operasional infrastruktur komputasi. Penggunaannya mencakup infrastruktur jaringan, aplikasi perusahaan, hingga produk digital yang digunakan masyarakat. Namun demikian, banyak komponen penting masih bergantung oleh tim pemeliharaan berukuran kecil. Analisis proyek kritis yang dipublikasikan The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak hanya memiliki satu atau dua maintainer. Temuan tersebut menunjukkan tingkat konsentrasi tanggung jawab yang tinggi. Namun harus dibedakan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan semua repositori kode sumber terbuka.
Ketergantungan pada sedikit pengelola menimbulkan perhatian serius karena sebuah pustaka dapat menjadi fondasi berbagai produk. Apabila suatu komponen bergantung pada dua maintainer aktif, risiko keterlambatan penanganan masalah bertambah. Pengelola harus meninjau perubahan kode, memastikan kompatibilitas versi, serta mempertahankan kualitas dokumentasi. Rangkaian tanggung jawab tersebut menuntut ketersediaan tenaga yang memadai. Jika sumber daya tidak mencukupi, proses pembaruan berpotensi melambat. Dengan mempertimbangkan keadaan tersebut, organisasi pengguna perlu memahami kondisi proyek.
Masalah Pendanaan dan Beban Kerja Maintainer Open Source
Salah satu penyebab utama proyek open source adalah keterbatasan pendanaan. Berbagai komponen open source bergantung pada waktu luang pengembang. Sementara itu, berbagai layanan bisnis mengandalkan proyek tersebut untuk mendukung aktivitas operasional yang menghasilkan pendapatan. Kesenjangan kontribusi ini dapat memperbesar tekanan terhadap maintainer. Sebagai contoh, sebuah pustaka kecil dapat digunakan oleh banyak aplikasi, tetapi hanya dikelola seorang pengembang. Sebagai konsekuensinya, perbaikan masalah bergantung pada ketersediaan waktu pengelola.
Tidak hanya berkaitan dengan uang, maintainer open source juga menghadapi tekanan pekerjaan. Perusahaan yang memanfaatkan pustaka sering membutuhkan pembaruan kompatibilitas ketika terjadi gangguan perangkat lunak. Di sisi lain, pengelola belum tentu bekerja penuh waktu. Kondisi tersebut mungkin mengurangi motivasi pengembangan. Jika kontributor inti meninggalkan proyek, pengetahuan teknis dapat sulit dialihkan. Oleh sebab itu, pengembangan komunitas harus berjalan bersama peningkatan sumber daya. Pendekatan yang berkelanjutan ini membantu mengurangi ketergantungan pada individu.
Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka
Ketergantungan proyek pada satu atau dua individu dapat memperbesar sejumlah risiko keamanan. Salah satu risikonya adalah terbatasnya peninjauan kode. Pada pengembangan dengan tata kelola kuat, kontribusi dapat diperiksa oleh lebih dari satu orang. Namun, proyek dengan satu maintainer mungkin tidak memiliki pemeriksa independen. Situasi tersebut membuat perubahan berbahaya lebih sulit dikenali. Walaupun risiko meningkat, banyaknya pengembang bukan jaminan keamanan. Penilaian keamanan tetap harus mempertimbangkan mekanisme perlindungan akun, serta kecepatan perbaikan celah.
Persoalan keamanan berikutnya adalah serangan terhadap rantai pasok perangkat lunak. Dalam skenario serangan rantai pasok, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, berbagai sistem hilir berpotensi terdampak. Kasus backdoor XZ Utils pada 2024 memperlihatkan potensi bahaya mengenai risiko penyusupan pada komponen infrastruktur. Melalui peristiwa tersebut, masalah keamanan serius teridentifikasi sebelum dampaknya menjadi lebih besar. Kesimpulan penting dari contoh tersebut adalah perlindungan rantai pasok tidak cukup mengandalkan kepercayaan personal. Oleh karena itu, pengguna perlu memantau risiko komponen yang digunakan.
Dampak Ketergantungan Open Source terhadap Perusahaan dan Layanan Digital
Untuk organisasi yang menjalankan aplikasi digital, pemanfaatan komponen sumber terbuka menjadi bagian penting infrastruktur. Banyak aplikasi mengandalkan framework yang dikembangkan komunitas. Cara pengembangan ini dapat mengurangi pekerjaan berulang. Walaupun memberikan efisiensi, risiko pemeliharaan ikut menjadi tanggung jawab pengguna. Jika suatu pustaka kehilangan maintainer aktif, tim keamanan berpotensi menghadapi pekerjaan tambahan. Dampaknya dapat berupa gangguan layanan.
Perlunya pengelolaan pustaka pihak ketiga juga tercermin dalam laporan industri. Laporan State of Open Source 2026 mengidentifikasi pengelolaan pembaruan keamanan sebagai tantangan bagi berbagai tim teknologi informasi. Kajian penggunaan open source tersebut, 20 persen organisasi belum menerapkan alur penanganan kerentanan yang teridentifikasi melalui CVE. Di sisi perusahaan besar, 39 persen perusahaan besar menghadapi hambatan memenuhi SLA perbaikan keamanan. Temuan tersebut menunjukkan pentingnya kesiapan operasional. Oleh sebab itu, perusahaan perlu mengetahui komponen yang digunakan.
Strategi Memperkuat Keamanan dan Keberlanjutan Proyek Open Source
Strategi dasar untuk memperkuat keamanan adalah memetakan seluruh komponen open source yang digunakan. Tim keamanan bisa memanfaatkan Software Bill of Materials atau SBOM untuk mendokumentasikan hubungan dependensi. Informasi tersebut mempermudah pemeriksaan versi rentan. Untuk memperoleh pemantauan yang lebih baik, manfaatkan pemindai dependensi yang mendeteksi paket dengan kerentanan diketahui. Walaupun pemindaian otomatis bermanfaat, hasilnya perlu dievaluasi berdasarkan konteks. Dalam evaluasi praktis, celah pada komponen yang benar-benar digunakan perlu mendapat perhatian lebih besar dibandingkan temuan pada fitur yang tidak digunakan.
Selain memperkuat sistem internal, perusahaan dapat membantu meningkatkan kesehatan ekosistem perangkat lunak. Kontribusi yang dapat diberikan mencakup dukungan finansial maupun teknis. Untuk membantu proyek penting, organisasi berpeluang memberikan sponsor rutin, mengalokasikan waktu karyawan untuk berkontribusi, serta meningkatkan kualitas dokumentasi. Kontribusi berkelanjutan ini mendorong distribusi pengetahuan teknis. Sebagai langkah tata kelola, memperkuat proses transfer tanggung jawab agar proyek tidak bergantung pada satu individu. Berkat kerja sama antara pengguna dan pengembang, ekosistem open source dapat menjadi lebih tangguh.
Pentingnya Dukungan Maintainer bagi Keamanan Infrastruktur Digital
Laporan yang mengidentifikasi 11 proyek dengan pengelola terbatas dari 23 proyek menjadi pengingat serius dalam perlindungan rantai pasok software. Ketergantungan pada satu atau dua pengelola berpotensi melemahkan ketahanan pemeliharaan. Namun demikian, kualitas tata kelola tetap menjadi faktor penting. Pengguna perangkat lunak dianjurkan memetakan dependensi, mengawasi kerentanan, serta berkontribusi dalam pemeliharaan open source. Dalam ekosistem digital yang semakin terhubung, keberlanjutan proyek menjadi kepentingan banyak pihak. Dari sudut pandang Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Ceritakan pengalaman Anda mengenai keamanan perangkat lunak open source.
