Data Baru Ungkap Kategori Kerentanan Kode yang Paling Cepat Diperbaiki di 50.000+ Repositori

Kerentanan kode menjadi perhatian utama bagi tim keamanan aplikasi (AppSec) di seluruh dunia, namun pertanyaannya, kerentanan jenis apa yang benar-benar diperbaiki dan bagaimana pola perbaikannya? Laporan terbaru dari Semgrep yang menganalisis lebih dari 50.000 repositori dan ratusan organisasi selama tahun 2025 memberikan jawaban yang mengejutkan tentang kategori kerentanan mana yang mendapat prioritas perbaikan dan mana yang sering terabaikan.

Perbedaan Fix Rate Berdasarkan Kategori OWASP

OWASP Top 10 telah lama dikenal sebagai standar industri untuk mengidentifikasi risiko keamanan paling kritis dalam perangkat lunak. Namun, data menunjukkan bahwa tidak semua kategori kerentanan ditangani dengan sama cepatnya. Semgrep membagi organisasi menjadi dua kelompok berdasarkan tingkat perbaikan (fix rate): 15% teratas sebagai pemimpin dan sisanya sebagai kelompok lapangan (field). Hasilnya menunjukkan bahwa perbedaan besar bukan pada kualitas deteksi atau prioritas, tapi pada eksekusi perbaikan.

Misalnya, tingkat perbaikan kerentanan kritis bervariasi drastis: ada organisasi yang memperbaiki hingga 63% temuan kritis, sementara yang lain hanya 13%. Ini terjadi meskipun menggunakan alat dan jenis peringatan yang sama.

Gap Perbaikan Terbesar pada Autentikasi dan Kriptografi

Kategori dengan perbedaan tingkat perbaikan terbesar adalah Authentication Failures (A07) dengan selisih 48 poin persentase antara pemimpin dan kelompok lapangan. Pemimpin memperbaiki hampir 60% kasus, sedangkan kelompok lapangan hanya sekitar 12%. Berikutnya adalah Cryptographic Failures (A02) dengan gap 38 poin.

Perbedaan ini muncul karena perbaikan kedua kategori tersebut membutuhkan pemahaman arsitektur sistem yang mendalam, bukan sekadar mengganti pola kode. Contohnya, memperbaiki masalah autentikasi tidak cukup hanya menambah pengecekan pada satu baris kode, melainkan harus menelusuri manajemen sesi, siklus token, dan sistem penyimpanan kredensial di berbagai lapisan layanan. Begitu pula perbaikan kriptografi yang bisa berarti migrasi algoritma enkripsi di seluruh sistem.

Berbeda dengan kategori lain, Server-Side Request Forgery (SSRF, A10) justru menunjukkan kelompok lapangan sedikit lebih baik. Ini karena kompleksitas bypass yang memerlukan pendekatan khusus dari kedua kelompok, sehingga gap perbaikan relatif kecil.

Sementara itu, Injection (A03) menunjukkan gap sedang sekitar 23 poin. Perbaikan konsepnya sederhana, seperti mengganti query parameterized, tetapi menemukan semua titik injeksi di basis kode besar sangat menantang. Data lebih rinci dari laporan menunjukkan bahwa ketika scanner menelusuri aliran data antar file, pemimpin memperbaiki 69% temuan, sedangkan yang hanya dalam satu file diperbaiki 43%. Ini menandakan bahwa pemahaman konteks penuh mendorong tindakan lebih cepat.

Fenomena "90 Hari Cliff": Kerentanan yang Menjadi Permanen

Data juga mengungkap fenomena penting bagi pengelolaan backlog kerentanan: temuan yang terbuka selama lebih dari 90 hari cenderung tidak pernah diperbaiki. Di kelompok pemimpin, hanya 9% perbaikan berasal dari backlog 90+ hari, sedangkan kelompok lapangan mencapai 16%.

Banyak tim menunda menangani temuan ini berkali-kali, hingga akhirnya terlupakan. Oleh karena itu, 90 hari harus dijadikan titik eskalasi di mana setiap temuan harus mendapat keputusan jelas:

• Perbaiki dengan waktu yang didedikasikan
• Terima risiko secara resmi dengan justifikasi terdokumentasi
• Mute atau abaikan sebagai false positive yang sudah dikonfirmasi

Menunda keputusan bukanlah strategi pengelolaan risiko yang efektif.

Strategi yang Membedakan Tim Pemimpin

Menurut laporan, perbedaan utama bukan pada alat yang digunakan, melainkan pada konfigurasi alur kerja (workflow). Berikut beberapa temuan utama:

1. Pemindaian pada Pull Request (PR) mempercepat perbaikan hingga 9 kali lipat, jika didukung alur kerja yang tepat. 96% pemimpin dan 95% kelompok lapangan sudah menjalankan pemindaian SAST dan SCA pada PR. Namun, pemimpin membuat temuan tersebut langsung bisa ditindaklanjuti pada saat PR, dengan rata-rata perbaikan dalam 4,8 hari, dibanding 43 hari saat pemindaian penuh. Bahkan 63% perbaikan temuan PR terjadi pada hari yang sama.
2. Aturan blocking pada PR meningkatkan tingkat perbaikan. Organisasi yang mengaktifkan aturan blocking khusus pada PR mengalami peningkatan fix rate hingga 12 poin persentase di kelompok pemimpin, dan 5 poin di lapangan. Pemimpin hanya menerapkan blocking pada aturan dengan false positive rendah dan dampak tinggi, seperti rahasia hardcoded dan injeksi SQL.
3. Analisis reachability pada SCA membantu prioritas perbaikan. Temuan kerentanan paket pihak ketiga yang benar-benar dapat dieksploitasi (reachable) diperbaiki 92% oleh pemimpin, dibanding 67% untuk temuan non-reachable. Ini mengurangi kelelahan akibat terlalu banyak peringatan yang tidak relevan.

Mulai dari Mana?

Bagi organisasi yang ingin mengukur efektivitas program keamanan mereka, cukup lihat tingkat perbaikan SAST kritis. Jika di bawah 50%, kemungkinan besar permasalahan bukan dari deteksi, melainkan di proses antara deteksi dan perbaikan, seperti:

• Temuan tidak sampai ke pengembang dengan konteks lengkap
• Tidak ada penanggung jawab yang jelas untuk tiap temuan
• Tidak ada jalur eskalasi untuk temuan yang menumpuk

Laporan lengkap Remediation at Scale dari Semgrep juga menyajikan analisis fix rate berdasarkan CWE (Common Weakness Enumeration), data spesifik ekosistem untuk berbagai package manager, dan rekomendasi prioritas implementasi.

Analisis Redaksi

Menurut pandangan redaksi, hasil laporan ini menunjukkan bahwa perbaikan kerentanan bukan hanya soal teknologi atau alat yang digunakan, tapi bagaimana organisasi mengatur proses dan budaya kerja mereka. Fakta bahwa gap terbesar ada pada kategori yang memerlukan pemahaman arsitektur sistem mengindikasikan perlunya kolaborasi lebih erat antara tim keamanan dan pengembang dengan keahlian domain mendalam.

Kemudian, fenomena "90 hari cliff" menandakan bahwa manajemen backlog temuan harus dirombak agar tidak menjadi bom waktu risiko keamanan. Tim harus menerapkan kebijakan eskalasi ketat yang memaksa pengambilan keputusan cepat dan menghindari penumpukan masalah lama.

Terakhir, adopsi praktik DevSecOps seperti pemindaian PR dan aturan blocking yang terintegrasi dengan alur kerja pengembang adalah kunci keberhasilan. Organisasi yang mengabaikan hal ini berisiko tertinggal dalam mengamankan aplikasi mereka.

Ke depan, penting untuk terus memantau perkembangan metode perbaikan kerentanan dan mendorong adopsi praktik terbaik agar keamanan aplikasi semakin kuat dan efisien.

Untuk informasi lebih lengkap dan update terkini, Anda dapat mengikuti sumber asli di The Hacker News dan laporan resmi dari Semgrep.