libxml2のセキュリティ対応方針見直し

libxml2は25年以上にわたり広く採用されるXMLパーサだが、商業企業の支援は乏しい。

メインテイナーのNick Wellnhoferは、無給でのセキュリティ対応の負担を訴え、セキュリティ問題を一般のバグと同様に扱う新方針を提案。

セキュリティ研究者からの報告はメンテナの負担を増やし、企業は脆弱性対応のコストを負わず自社宣伝に利用しているとの批判。

Wellnhoferはlibxsltのメンテナからも降板し、企業にはプロジェクトから撤退する選択肢を勧めた。

コミュニティでは、企業利用に対する心理的安全性を高めるため「MAINTENANCE-TERMS.md」による明確なメンテナンス条件の導入が提案されている。

OpenSSFスコアカードなどのベストプラクティスは大手企業による無償労働の強要として捉えられることがある。

今後、オープンソースの持続可能性確保には資金提供やメンテナンス条件の公示など企業の積極的参画が必要とされる。