GitHub memperkenalkan cooldown default tiga hari pada Dependabot version updates untuk melindungi proyek open-source dari ancaman supply chain attacks yang menyebar melalui rilis berbahaya yang baru saja dipublikasikan.
APA YANG TERJADI?
Pada September 2025, seorang penyerang berhasil mem-phishing kredensial maintainer npm tunggal dan mempublikasikan versi berbahaya dari paket chalk, debug, dan sekitar selusin paket lain yang secara kolektif diunduh lebih dari 2 miliar kali per minggu. Kode berbahaya menulis ulang alamat wallet kriptografi di dalam setiap aplikasi browser yang memuatnya. Versi beracun tersebut aktif selama sekitar dua jam sebelum komunitas menangkapinya dan npm menariknya. Namun, dua jam sudah cukup bagi tool update otomatis untuk melihat rilis baru, membuka pull request, dan menempatkannya di depan tim. GitHub kini mengubah logika ini dengan menerapkan cooldown default minimal tiga hari setelah rilis dipublikasikan sebelum Dependabot membuka pull request version update.
DETAIL TEKNIS
Dependabot melakukan dua pekerjaan berbeda: security updates yang merespons kerentanan yang sudah diketahui dan version updates yang menjaga dependency tetap terkini tanpa memandang status keamanan versi saat ini. Cooldown tiga hari baru ini hanya berlaku untuk version updates; security updates tetap dibuka segera karena penundaan akan menahan perbaikan untuk flaw yang sudah publik. GitHub Advisory Database mencatat lebih dari 6.500 advisori malware npm dalam tahun yang berakhir Mei 2026, naik dari sekitar 6.200 tahun sebelumnya, yang berarti sekitar 18 paket berbahaya baru dikatalogkan setiap hari. Review terhadap 21 insiden supply chain yang dilaporkan secara luas antara 2018 dan 2026 menunjukkan pola yang sama: versi berbahaya dari axios, Solana web3.js, ua-parser-js, dan Ledger Connect Kit masing-masing ditarik dalam hitungan jam setelah publikasi. Cooldown tiga hari dirancang untuk mendorong proyek melewati jendela di mana sebagian besar serangan ini bertahan. Pengguna masih dapat mengkonfigurasi parameter cooldown melalui opsi cooldown di dependabot.yml sesuai kebutuhan proyek mereka.
DAMPAK TERHADAP INDONESIA
Komunitas pengembang open-source di Indonesia terus berkembang pesat, dengan banyak startup dan perusahaan teknologi mengandalkan paket npm, PyPI, dan Maven untuk mempercepat pengembangan produk. Namun, kesadaran tentang risiko supply chain attacks masih rendah. Banyak tim development yang mengaktifkan Dependabot tanpa memahami bahwa update otomatis ke versi terbaru dapat memperkenalkan kode berbahaya sebelum sempat diperiksa oleh komunitas. Kejadian serupa yang menargetkan ekosistem npm dapat dengan mudah menyebar ke proyek-proyek Indonesia yang menggunakan dependency dari registry publik. Dengan cooldown default, tim development Indonesia mendapatkan perlindungan tambahan tanpa perlu mengubah konfigurasi. Ini penting mengingat masih banyaknya proyek yang tidak memiliki security champion atau pipeline SCA yang memadai untuk mendeteksi malware pada dependency baru.
REKOMENDASI MITIGASI
Organisasi harus memastikan konfigurasi Dependabot mereka menggunakan cooldown default tiga hari atau lebih panjang untuk proyek yang tidak memerlukan update segera. Pertimbangkan untuk mempin dependency dengan lockfiles, menonaktifkan install scripts di CI pipeline, membatasi scope token pada build pipelines, dan selalu mereview update sebelum merge. Untuk package internal yang sangat tepercaya, cooldown dapat disesuaikan lebih pendek melalui konfigurasi dependabot.yml. Implementasikan Software Composition Analysis (SCA) yang memindai dependency baru terhadap database malware dan advisori keamanan sebelum deployment. Edukasi tim development tentang risiko typosquatting dan dependency confusion pada registry publik.
Analisa Retasan
Cooldown tiga hari adalah contoh sempurna dari defensive measure yang berbasis pada analisis data historis. GitHub memanfaatkan GitHub Advisory Database dengan lebih dari 6.500 entri malware npm per tahun untuk memahami bahwa sebagian besar serangan supply chain berlangsung sangat singkat: dipublikasikan, menyebar, tertangkap, dan ditarik dalam hitungan jam. Dengan menambahkan jeda tiga hari, Dependabot memastikan bahwa rilis yang bertahan lebih lama dari jendela tersebut kemungkinan besar telah melewati pemeriksaan awal komunitas dan scanner otomatis. Ini adalah aplikasi praktis dari konsep security through delay pada skala massal, melindungi jutaan repositori yang mempercayakan Dependabot untuk menjaga dependency mereka tetap terkini.
Namun, cooldown ini dirancang khusus untuk serangan yang bergerak cepat dan tidak melindungi terhadap ancaman jangka panjang. Serangan yang menggunakan backdoor yang ditanam dan dibiarkan dormant, sabotase maintainer, atau sistem build yang telah dikompromikan tidak akan terdeteksi oleh cooldown. Oleh karena itu, ini harus menjadi salah satu lapisan dari defense-in-depth yang lebih luas, bukan pengganti untuk review manual, SCA tools, atau vulnerability scanning. Bagi organisasi Indonesia yang baru mulai membangun program Application Security, penerapan Dependabot dengan cooldown adalah quick win yang memberikan perlindungan signifikan tanpa biaya tambahan atau kompleksitas teknis yang tinggi.
Secara strategis, keputusan GitHub ini juga menekankan tanggung jawab platform terhadap keamanan ekosistem open-source. Sebagai salah satu platform development terbesar di dunia, GitHub memiliki visibilitas unik terhadap pola serangan supply chain dan kemampuan untuk mengimplementasikan countermeasures pada skala yang tidak dapat dicapai oleh tool individual. Cooldown ini secara efektif mengubah Dependabot dari sekadar tool convenience menjadi komponen keamanan aktif. Bagi pengembang Indonesia, ini adalah pengingat bahwa keamanan supply chain bukan hanya tanggung jawab individu maintainer, melainkan memerlukan kolaborasi antara platform, komunitas, dan organisasi pengguna. Tanpa partisipasi aktif dalam ekosistem ini, proyek lokal tetap rentan terhadap ancaman global yang semakin canggih.
Sumber: GitHub Blog
