Software crítico e aberto depende de voluntários mal pagos

Um relatório publicado pela The Data Drop em 20 de outubro revela que 11 dos 23 projetos de software de código aberto considerados críticos para o funcionamento da internet dependem de apenas um ou dois responsáveis de manutenção.

Muitas vezes, estes trabalhadores não são remunerados ou estão mal pagos, expondo a infraestrutura digital global a riscos de segurança.

O relatório da The Data Drop identifica casos concretos. O principal ficheiro de fusos horários utilizado em sistemas Linux é mantido gratuitamente por Paul Eggert, professor da Universidade da Califórnia em Los Angeles (UCLA); a biblioteca Core-js — utilizada, segundo o próprio autor, em metade dos sítios web mais visitados do mundo — é gerida por Denis Pushkarev, que chegou a ser criticado pela comunidade por solicitar ajuda ou emprego por meio de uma mensagem no instalador da ferramenta.

A biblioteca SQLite, presente em aplicações como WhatsApp, Dropbox, Android, Windows e todos os principais navegadores, com cerca de um bilião de instalações estimadas, é mantida por apenas quatro pessoas — que chegaram a retirar os seus nomes e fotografias do sítio do projeto por razões de segurança pessoal.

Os riscos não são teóricos. Em 2014, a vulnerabilidade Shellshock, presente no sistema Bash desde 1989, afetou sistemas Linux, macOS e Unix.

Em 2016, a biblioteca ImageMagick foi explorada para execução remota de código; uma análise de 2020 identificou centenas de falhas de segurança no seu código ao longo dos anos, sendo que quase todas as contribuições recentes foram feitas por uma única pessoa.

Em 2021, a falha Log4Shell comprometeu milhões de servidores; em 2023, a biblioteca libwebp registou uma vulnerabilidade de dia zero; em 2024, a biblioteca de compressão xz, utilizada em Linux e iOS, foi comprometida.

Em setembro de 2025, Nick Wellnhofer, responsável histórico pela biblioteca Libxml2, abandonou o projecto após anos de trabalho com rendimentos escassos.

Existem exceções ao subfinanciamento. A ferramenta curl, utilizada por praticamente todos os programadores para transferência de dados via URL, passou a ter o seu criador Daniel Stenberg financiado a tempo inteiro, com uma equipa de 11 pessoas e apoio do Open Collective e da Agência Alemã de Tecnologia Soberana (Sovereign Tech Agency).

Esta mesma agência financia também os projectos Log4j, OpenSSL, FFmpeg e OpenSSH. O relatório sublinha que o nível de importância crítica destes projectos justificaria investimentos substanciais por parte da indústria, em particular das empresas cujos produtos comerciais mais beneficiam do trabalho voluntário da comunidade.