Por Canuto  

Un informe señala que 11 de 23 proyectos de código abierto considerados críticos dependen de apenas uno o dos mantenedores, a menudo con poca o ninguna remuneración. La concentración del trabajo contrasta con el uso extendido de estas herramientas y con antecedentes como Shellshock, Log4Shell y el compromiso de xz.
***

  • El informe de The Data Drop identifica 11 proyectos de una lista de 23 con solo uno o dos mantenedores.
  • Herramientas como SQLite, core-js y libjpeg-turbo sostienen servicios y aplicaciones de uso masivo.
  • Casos como curl muestran que algunos proyectos han ampliado sus equipos mediante financiación y apoyo institucional.

Código abierto crítico, sostenido por equipos mínimos y con pocos recursos

Buena parte de la infraestructura digital cotidiana depende de software de código abierto que desarrollan y mantienen equipos pequeños, a veces integrados por una sola persona. Un informe de The Data Drop advierte que 11 de los 23 proyectos críticos que examinó tienen apenas uno o dos mantenedores, mientras que la financiación disponible suele ser escasa o inexistente. La combinación deja componentes muy extendidos dependiendo de pocas manos para revisar cambios, corregir fallas y sostener su evolución.

El problema no consiste únicamente en que falten contribuyentes: el trabajo de mantenimiento suele ofrecer poca o ninguna remuneración, aunque empresas y usuarios se beneficien de esas herramientas. Esa distancia entre la importancia del software y los recursos que recibe puede convertir un proyecto aparentemente estable en un punto vulnerable, sobre todo cuando una falla alcanza productos y sistemas que lo incorporan sin que el usuario final lo sepa.

Vulnerabilidades que dejaron lecciones

Los antecedentes muestran que una base de código utilizada durante años no queda libre de errores por el simple paso del tiempo. En 2014, el mismo año de Heartbleed, Shellshock expuso una vulnerabilidad en Bash, el intérprete de comandos presente en Linux, macOS y otros sistemas tipo Unix; el problema se rastreó hasta una línea incorporada desde 1989. La antigüedad del código no impidió que la falla tuviera consecuencias, y el historial de cambios de Bash apunta a Chet Ramey como su mantenedor casi exclusivo.

ImageMagick, una biblioteca utilizada para manipular imágenes en sitios web, aplicaciones móviles y otros programas, también ilustra el riesgo de depender de componentes poco atendidos. En 2016, una explotación de la herramienta permitió ejecución remota de código, mientras que un análisis de 2020 contabilizó cientos de problemas de seguridad acumulados en su extensa base de código. El artículo de Tom’s Hardware señala, además, que Dirk Lemstra realizó casi todas las contribuciones de código de los últimos años.

La lista de incidentes recientes incluye Log4Shell, una vulnerabilidad crítica descubierta en 2021 en Apache Log4j, una biblioteca de registro utilizada en millones de servidores. También menciona una falla de día cero en libwebp en 2023 y el compromiso de xz en 2024, una herramienta de compresión empleada en Linux e iOS, según la información citada. Los casos no son idénticos, pero sirven para mostrar cómo componentes poco visibles pueden tener un alcance amplio.

Estas vulnerabilidades no demuestran que todo proyecto pequeño sea inseguro, ni que el código abierto tenga por naturaleza una protección menor. Sí ilustran la dificultad de revisar y mantener software esencial cuando el trabajo recae en muy pocas personas, particularmente si el proyecto no cuenta con financiación constante. Con pocos mantenedores, la continuidad del conocimiento técnico y la capacidad de responder a problemas dependen de un grupo estrecho.

Herramientas extendidas, mantenimiento concentrado

Algunos proyectos del informe sostienen funciones que muchos usuarios dan por sentadas. Paul Eggert mantiene pro bono el archivo principal de husos horarios utilizado en sistemas operativos basados en Linux, mientras Denis Pushkarev se ocupa de core-js, una herramienta que permite que código JavaScript moderno funcione en navegadores antiguos. El autor citado por el informe estima que core-js aparece en la mitad de los sitios web más visitados del mundo.

El caso de Pushkarev también refleja las tensiones que puede generar la falta de apoyo económico. En una ocasión, recibió críticas de miembros de la comunidad después de añadir al instalador de la biblioteca un mensaje que pedía ayuda o un empleo. La anécdota deja a la vista una contradicción: los usuarios pueden depender de una pieza de software y, al mismo tiempo, reprochar al responsable que haga visible la precariedad de su mantenimiento.

HarfBuzz, desarrollada por Behdad Esfahbod, cumple una función esencial en la conformación de texto y las ligaduras, especialmente en lenguas de Oriente Medio, donde las letras pueden cambiar de forma u orientación según las que las rodean. Esfahbod concentra la gran mayoría del código del proyecto, y la información citada no identifica financiación pública ni corporativa para su trabajo. En otro ámbito, D.R. Commander, conocido como DRC, mantiene libjpeg-turbo, utilizada para imágenes JPEG en Android, Firefox, LibreOffice y navegadores basados en Chromium.

Commander recibe ocasionalmente contratos para trabajos específicos de libjpeg-turbo, aunque el texto describe esos pagos como posiblemente modestos: de tres o cuatro cifras, en lugar de seis o siete. Libxml2, por su parte, permite leer y escribir XML en numerosas aplicaciones y sistemas operativos; su mantenedor original, Nick Wellnhofer, dimitió en septiembre de 2025 después de años de trabajo con pocos ingresos. Los ejemplos muestran que el problema no se limita a herramientas desconocidas o de uso marginal.

SQLite y otros componentes de uso masivo

SQLite es una base de datos que guarda la información en un solo archivo y se integra con facilidad en distintos programas, sin exigir una infraestructura pesada para muchas aplicaciones. Conserva el uso de SQL y sus herramientas asociadas, y su sencillez ayudó a que terminara dentro de productos como WhatsApp, Dropbox, Android, Windows y los principales navegadores. El proyecto calcula que existen alrededor de un billón de instancias en uso.

Pese a esa presencia, solo cuatro personas mantienen el proyecto, según la información recogida. El equipo llegó a retirar sus nombres y fotografías de la página oficial porque, de acuerdo con su explicación, hay muchas personas en el mundo que podrían hacer un mal uso de esos datos. La decisión revela una preocupación por la seguridad personal que va más allá de los problemas técnicos y muestra el peso que puede recaer sobre un grupo pequeño.

SQLite obtiene recursos al ofrecer servicios de soporte de pago a través de la empresa de su fundador, aunque la fuente no detalla los ingresos efectivos del modelo ni cuánto alcanza para sostener a las cuatro personas involucradas. Esa falta de información no permite concluir que el proyecto carezca de ingresos, pero sí deja sin resolver cuánto apoyo económico llega realmente a quienes lo mantienen. En software utilizado a gran escala, la visibilidad de los recursos disponibles importa tanto como la cantidad de usuarios.

El patrón se repite, con diferencias entre proyectos, en bibliotecas y herramientas que pueden pasar inadvertidas para quienes usan los productos finales. Un componente como core-js o libjpeg-turbo no necesita tener una marca conocida para volverse relevante: basta con que muchas aplicaciones lo incorporen. Cuando el mantenimiento depende de una o dos personas, la continuidad del proyecto queda ligada a su disponibilidad y a la posibilidad de que sigan dedicándole tiempo.

Financiación como parte de la respuesta

El panorama no es uniforme, y curl ofrece un contraste con los proyectos que dependen casi por completo de trabajo voluntario. Daniel Stenberg inició el proyecto y ahora recibe un salario para dedicarse a tiempo completo a su desarrollo; el equipo creció hasta 11 personas. La iniciativa también ha recibido financiación de Open Collective y de la Agencia de Tecnología Soberana de Alemania, entre otras fuentes.

La misma agencia alemana ha aportado fondos a los proyectos Log4j y OpenSSL, así como a FFmpeg, un manejador de archivos de video, y OpenSSH, ampliamente utilizado para conexiones seguras a servidores Linux. La fuente relaciona esos apoyos con las lecciones de incidentes de seguridad pasados, aunque no detalla los montos ni las condiciones de cada aporte. El contraste con los equipos minúsculos muestra que existen vías de financiación, pero no que estén disponibles por igual para todos.

Los proyectos de código abierto pueden beneficiar a empresas cuyos productos comerciales dependen de esas herramientas, además de a desarrolladores y usuarios individuales. Por eso, el informe plantea que los actores de la industria tienen motivos para contribuir a su sostenimiento, especialmente cuando obtienen valor de un trabajo comunitario que no necesariamente financian. La cuestión no es solo reconocer la utilidad del software, sino asegurar que existan recursos y personas para revisarlo y mantenerlo.

El avance de herramientas de inteligencia artificial capaces de encontrar vulnerabilidades explotables en cuestión de horas vuelve más urgente esa discusión, según el argumento presentado en el artículo. En ese contexto, las donaciones no se plantean únicamente como una obligación moral, sino también como una inversión en seguridad para quienes dependen de esos componentes. La advertencia central es concreta: la infraestructura digital puede descansar sobre proyectos esenciales cuyo equipo y presupuesto no reflejan su alcance.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados