FOSS sta per Free and Open Source Software. Nei progetti FOSS, il codice sorgente è disponibile pubblicamente e gli utenti possono ispezionarlo, modificarlo e ridistribuirlo sotto una licenza aperta. Lo sviluppo è spesso guidato dalla community, con i manutentori che esaminano i contributi esterni di volontari, aziende e strumenti automatizzati.
Il FOSS è importante nella cybersecurity perché l'apertura migliora la verificabilità, ma crea anche una vasta superficie di fiducia. Gli attaccanti possono prendere di mira i manutentori, i tracker dei problemi, gli aggiornamenti delle dipendenze o le pull request invece del codice stesso. Per questo le difese della supply chain del software per il FOSS includono revisione del codice, release firmate, verifica dei contributori, blocco delle dipendenze e controlli di provenienza. Negli attacchi, il FOSS può essere abusato tramite commit malevoli, pacchetti typosquatting o ingegneria sociale che convince un manutentore ad accettare modifiche dannose. Nelle difese, la stessa apertura aiuta i difensori a individuare più rapidamente le attività sospette e a rafforzare il processo di revisione del progetto.