Hampir Separuh Software Open Source Kritis Bergantung pada Segelintir Pengelola, Risiko Keamanan Meningkat

Keamanan perangkat lunak open source kembali menjadi perhatian setelah laporan terbaru mengungkap bahwa hampir separuh proyek penting dalam sebuah daftar perangkat lunak kritis hanya dikelola oleh satu atau dua orang. Temuan yang diberitakan pada 20 Oktober 2026 tersebut menunjukkan bagaimana infrastruktur digital modern masih bergantung pada kontribusi pengembang dengan sumber daya terbatas. Dari 23 proyek yang dianalisis, sebanyak 11 proyek memiliki jumlah pengelola sangat sedikit. Kondisi ini menimbulkan kekhawatiran terhadap keberlanjutan pemeliharaan, kecepatan perbaikan kerentanan, dan keamanan rantai pasok perangkat lunak. Dalam perkembangan TEKNOLOGI yang semakin kompleks, dukungan terhadap pengelola open source menjadi kebutuhan strategis bagi perusahaan dan pengguna.

Sebanyak 11 dari 23 Proyek Open Source Kritis Memiliki Pengelola Terbatas

Perangkat lunak open source menjadi fondasi utama dalam pembangunan berbagai aplikasi teknologi. Penggunaannya mencakup layanan komputasi awan, aplikasi perusahaan, hingga perangkat elektronik sehari-hari. Walaupun memiliki kontribusi besar, sejumlah proyek kritis tetap mengandalkan oleh jumlah pengelola yang sangat terbatas. Analisis proyek kritis yang dipublikasikan The Data Drop menemukan 11 proyek dalam daftar berisi 23 perangkat lunak bergantung pada maksimal dua pengelola. Informasi tersebut memperlihatkan keterbatasan sumber daya pemeliharaan. Perlu diperhatikan bahwa angka tersebut berlaku pada proyek yang dianalisis, bukan seluruh proyek open source di dunia.

Ketergantungan pada sedikit pengelola menciptakan tantangan keberlanjutan karena satu komponen dapat mendukung ribuan aplikasi. Apabila suatu komponen bergantung pada dua maintainer aktif, tanggung jawab pengembangan menjadi terkonsentrasi. Tim kecil tersebut biasanya dituntut untuk meninjau perubahan kode, memastikan kompatibilitas versi, serta mengelola kontribusi pengembang lain. Rangkaian tanggung jawab tersebut membutuhkan waktu dan perhatian. Ketika pengelola mengalami kelebihan beban, penanganan kerentanan dapat tertunda. Oleh karena itu, organisasi pengguna perlu memahami kondisi proyek.

Mengapa Banyak Proyek Open Source Kritis Kekurangan Pengelola?

Salah satu penyebab utama proyek open source adalah kurangnya dukungan finansial. Banyak perangkat lunak terbuka dikembangkan melalui kontribusi sukarela. Padahal, berbagai layanan bisnis mengandalkan proyek tersebut untuk mengembangkan layanan kepada pelanggan. Kesenjangan kontribusi ini berpotensi menghambat pemeliharaan jangka panjang. Dalam situasi yang mungkin terjadi, sebuah pustaka kecil dapat digunakan oleh banyak aplikasi, tetapi tidak memiliki tim keamanan khusus. Sebagai konsekuensinya, setiap laporan keamanan harus ditangani dengan sumber daya terbatas.

Tidak hanya berkaitan dengan uang, maintainer open source juga menghadapi tekanan pekerjaan. Perusahaan yang memanfaatkan pustaka dapat meminta penanganan segera ketika muncul kerentanan keamanan. Namun, pengelola belum tentu bekerja penuh waktu. Situasi kerja seperti ini mungkin mengurangi motivasi pengembangan. Apabila seorang maintainer berhenti, pengetahuan teknis dapat sulit dialihkan. Dengan demikian, dukungan finansial sebaiknya diikuti regenerasi maintainer. Langkah tersebut mendorong transfer pengetahuan teknis.

Ancaman Supply Chain Attack pada Perangkat Lunak Sumber Terbuka

Jumlah pengelola yang terbatas dapat memperbesar sejumlah risiko keamanan. Tantangan keamanan yang paling relevan adalah kurangnya pemeriksaan silang. Dalam proyek yang sehat, kontribusi dapat diperiksa oleh lebih dari satu orang. Namun, proyek dengan satu maintainer dapat kesulitan menerapkan pemeriksaan berlapis. Kondisi pengawasan semacam itu dapat meningkatkan kemungkinan kesalahan tidak terdeteksi. Meski demikian, jumlah maintainer kecil tidak otomatis berarti kode tidak aman. Penilaian keamanan tetap harus mempertimbangkan mekanisme perlindungan akun, serta kemampuan merespons laporan kerentanan.

Ancaman lainnya adalah software supply chain attack. Dalam skenario serangan rantai pasok, pelaku berusaha menyusupi komponen yang digunakan banyak pihak. Apabila berhasil, kode berbahaya mungkin menyebar melalui pembaruan dependensi. Upaya penyusupan terhadap XZ Utils tahun 2024 sering dijadikan pelajaran mengenai penyalahgunaan kepercayaan dalam proyek terbuka. Dalam insiden tersebut, upaya memasukkan backdoor ke komponen penting ditemukan sebelum menyebar luas. Aspek yang perlu diperhatikan adalah pengelolaan akses maintainer harus dilakukan hati-hati. Oleh karena itu, organisasi perlu mengevaluasi dependensi secara rutin.

Mengapa Perusahaan Perlu Memeriksa Kesehatan Dependensi Open Source?

Dalam lingkungan bisnis berbasis perangkat lunak, penggunaan dependensi terbuka sering tidak terhindarkan. Berbagai layanan bisnis dibangun menggunakan pustaka pihak ketiga. Penggunaan kode yang telah tersedia membantu mempercepat pembangunan aplikasi. Namun demikian, ketahanan sistem bergantung pula pada kesehatan dependensi. Apabila sebuah framework tidak lagi menerima pembaruan keamanan, aplikasi dapat tetap menggunakan versi rentan. Konsekuensi operasionalnya mungkin meningkatkan paparan serangan siber.

Pentingnya tata kelola dependensi semakin mendapat perhatian dalam penelitian teknologi. Dalam penelitian State of Open Source tahun 2026 menemukan bahwa patching masih menjadi persoalan penting bagi berbagai tim teknologi informasi. Survei industri itu, 20 persen organisasi menyatakan belum memiliki proses khusus untuk merespons CVE. Sebagai temuan tambahan, 39 persen perusahaan besar mengalami kesulitan memenuhi target internal penanganan kerentanan. Temuan tersebut menunjukkan pentingnya kesiapan operasional. Dengan mempertimbangkan risiko tersebut, perusahaan perlu mengetahui komponen yang digunakan.

Langkah Mengelola Rantai Pasok Perangkat Lunak Secara Lebih Aman

Pendekatan awal yang cukup penting adalah membangun daftar pustaka dan framework dalam aplikasi. Tim keamanan bisa menerapkan inventaris perangkat lunak berbentuk SBOM untuk mendokumentasikan hubungan dependensi. Data inventaris ini mempermudah pemeriksaan versi rentan. Untuk memperoleh pemantauan yang lebih baik, gunakan alat analisis komposisi perangkat lunak yang memberikan informasi tentang pembaruan keamanan. Meski alat tersebut dapat mempercepat pemeriksaan, peringatan tidak boleh diperlakukan sama pentingnya. Dalam evaluasi praktis, masalah yang memiliki dampak tinggi terhadap layanan membutuhkan tindakan lebih cepat dibandingkan peringatan yang tidak relevan dengan konfigurasi.

Tidak hanya mengandalkan pemindaian keamanan, perusahaan perlu mendukung proyek open source yang digunakan. Pendekatan kolaboratif ini dapat dilakukan melalui berbagai cara. Untuk membantu proyek penting, organisasi dapat mendanai pengelola, mengalokasikan waktu karyawan untuk berkontribusi, serta berkontribusi pada sistem otomasi pemeriksaan. Kolaborasi seperti itu dapat mengurangi tekanan maintainer. Sebagai langkah tata kelola, mendorong penambahan pengelola tepercaya agar pengetahuan penting tidak terkonsentrasi. Dengan pendekatan tersebut, risiko ketergantungan berlebihan berpotensi menurun.

Kesimpulan Risiko Keamanan Software Open Source Kritis

Hasil kajian terhadap 23 proyek penting yang menemukan 11 proyek bergantung pada sedikit maintainer menunjukkan tantangan penting dalam pengelolaan perangkat lunak sumber terbuka. Ketergantungan pada satu atau dua pengelola mungkin memperbesar beban penanganan keamanan. Meski kondisi tersebut perlu diperhatikan, kualitas tata kelola tetap menjadi faktor penting. Organisasi sebaiknya menyusun inventaris komponen, mengawasi kerentanan, serta berkontribusi dalam pemeliharaan open source. Di tengah meningkatnya ketergantungan pada perangkat lunak, perlindungan komponen kritis membutuhkan kolaborasi. Bagaimana pendapat Anda, apakah perusahaan pengguna open source perlu lebih aktif membiayai maintainer? Ceritakan pengalaman Anda mengenai tantangan pengelola proyek sumber terbuka.