IBM a Red Hat uvádějí, že Lightwell opravil 400+ neznámých chyb v knihovnách Java, ale neposkytují žádné podrobnosti

IBM a Red Hat 6. října 2026 oznámily, že jejich iniciativa Lightwell objevila a opravila více než 400 dříve neznámých zranitelností v populárních knihovnách Java. Ve stejném oznámení obě firmy uvedly, že Lightwell Clearinghouse je nyní obecně dostupný. Jde o službu, jejímž prostřednictvím mohou podnikoví zákazníci předávat konkrétní open source závislosti a žádat o jejich přednostní kontrolu a opravu.

Podle tiskové zprávy Lightwell spojuje inženýry obou firem a vazby společnosti Red Hat na open source komunity s pracovními postupy vývoje s podporou AI a s infrastrukturou společnosti Red Hat pro sestavování a dodavatelský řetězec. Firmy uvádějí, že Lightwell vytváří opravy přizpůsobené přesným verzím závislostí, které zákazníci již provozují v produkci, a zpětně je portuje (backport), takže týmy mohou nasadit záplatu bez předchozího upgradu. Záplaty se dodávají prostřednictvím zabezpečených repozitářů, které mají zapadnout do stávajících skenerů, pipeline a testovacích procesů. Phoronix popisuje Lightwell jako iniciativu společnosti Red Hat zaměřenou na dodavatelský řetězec, která se opírá o specializované agenty AI.

Oznámení vynechává podrobnosti potřebné k ověření tohoto čísla. Help Net Security upozorňuje, že firmy nejmenovaly dotčené knihovny a neuvedly žádná čísla CVE, žádná hodnocení závažnosti ani časové období nálezů. Také Phoronix píše, že podrobností o jednotlivých zranitelnostech je málo, a uvádí, že verze tiskové zprávy pod embargem rozeslaná o několik dní dříve hovořila o 300+ zranitelnostech, než bylo číslo zvýšeno na 400+. Samotná tisková zpráva označuje nálezy střídavě jako zranitelnosti a jako chyby (bugy) a neuvádí, kolik z nich bylo závažných.

Podle tiskové zprávy se opravy, které se týkají upstreamových projektů, vracejí těmto projektům podle pravidel odpovědného zveřejňování, zatímco účastníci Clearinghouse si ponechávají ochranu embarga. Help Net Security vysvětluje, co to znamená pro všechny ostatní: organizace, které dotčené knihovny používají, ale nejsou zapojeny do programu, dostanou opravy pouze prostřednictvím veřejných upstreamových vydání, jakmile to zveřejnění dovolí.

Firmy rámují tuto práci kolem útoků prováděných umělou inteligencí a tvrdí, že autonomní agenti AI mohou spojit několik drobných slabin do závažnějšího útoku, takže samotné nalézání chyb nestačí bez oprav, které lze nasadit. Gunnar Hellekson, viceprezident a generální ředitel Lightwell ve společnosti Red Hat, řekl, že nalezení chyb je jen částí práce. Dodal, že rychlost 400+ nálezů ukazuje, jak rychle se Lightwell dokáže pohybovat.