Отчет The Data Drop указывает на уязвимость критического программного обеспечения, которое часто поддерживается одним или двумя неоплачиваемыми разработчиками. Примеры прошлых лет, включая Shellshock, ImageMagick и Log4Shell, демонстрируют риски, связанные с нехваткой ресурсов в таких проектах.
Многие важные библиотеки не получают корпоративного финансирования. Так, файл часовых поясов для Linux поддерживается на общественных началах, а библиотеку Core-js, используемую половиной крупнейших сайтов мира, ведет один человек. Аналогичная ситуация наблюдается с библиотеками HarfBuzz и Libxml2.
База данных SQLite, насчитывающая около триллиона инстанций в таких продуктах, как WhatsApp и Windows, управляется всего четырьмя специалистами. Разработчик Libjpeg-turbo отмечает, что его доход от проекта остается крайне скромным. Из-за рисков безопасности команда SQLite удалила личные данные со своей страницы.
Некоторые проекты смогли привлечь финансирование для обеспечения стабильности. Проект curl теперь поддерживается командой из 11 человек, получая средства от Open Collective и Sovereign Tech Agency. Последняя также финансирует Log4j, OpenSSL, FFmpeg и OpenSSH, что помогает снизить риски для критически важной инфраструктуры.
