IBM과 Red Hat, Lightwell이 알려지지 않았던 Java 라이브러리 결함 400개 이상을 수정했다고 밝혀… 세부 내용은 공개 안 해

IBM과 Red Hat은 2026년 10월 6일, 자사의 Lightwell 이니셔티브가 널리 쓰이는 Java 라이브러리에서 이전에 알려지지 않았던 취약점 400개 이상을 발견하고 패치했다고 발표했다. 두 회사는 같은 발표에서 Lightwell Clearinghouse가 이제 정식 출시되었다고 밝혔다. 이는 기업 고객이 특정 오픈소스 종속성을 제출하고 이를 우선적으로 검토하고 수정해 달라고 요청할 수 있는 서비스다.

보도자료에 따르면 Lightwell은 두 회사의 엔지니어와 Red Hat의 오픈소스 커뮤니티와의 관계를 AI 지원 엔지니어링 워크플로, 그리고 Red Hat의 빌드 및 공급망 인프라와 결합한다. 두 회사는 Lightwell이 고객이 이미 프로덕션 환경에서 실행 중인 종속성의 정확한 버전에 맞춘 수정을 만들어 백포트하므로, 팀이 먼저 업그레이드하지 않고도 패치를 적용할 수 있다고 말한다. 패치는 보안이 적용된 저장소를 통해 제공되며, 기존 스캐너, 파이프라인, 테스트 프로세스에 맞물리도록 의도되었다. Phoronix는 Lightwell을 특화된 AI 에이전트에 의존하는 Red Hat의 공급망 작업이라고 설명한다.

발표에서 빠진 것은 이 수치를 확인하는 데 필요한 세부 정보다. Help Net Security는 두 회사가 영향을 받는 라이브러리의 이름을 밝히지 않았고 CVE 번호, 심각도 등급, 발견 시기도 제시하지 않았다고 지적한다. Phoronix 역시 개별 취약점에 대한 세부 정보가 부족하다고 전하며, 며칠 전에 배포된 엠바고 버전의 보도자료에서는 300개 이상의 취약점이라고 했다가 이후 수치가 400개 이상으로 올라갔다고 보도했다. 보도자료 자체도 발견 사항을 취약점이라 부르기도 하고 버그라 부르기도 하며, 그중 몇 개가 심각했는지는 밝히지 않는다.

보도자료에 따르면 업스트림 프로젝트에 해당하는 수정은 책임 있는 공개 규칙에 따라 해당 프로젝트에 다시 기여되며, Clearinghouse 참여자는 엠바고 보호를 유지한다. Help Net Security는 이것이 나머지 모두에게 무엇을 의미하는지 설명한다. 영향을 받는 라이브러리를 사용하지만 프로그램에 참여하지 않은 조직은 공개가 허용된 이후 공개 업스트림 릴리스를 통해서만 수정을 받게 된다.

두 회사는 이번 작업을 AI가 수행하는 공격이라는 관점에서 설명하며, 자율 AI 에이전트가 여러 사소한 약점을 연결해 더 심각한 공격으로 만들 수 있으므로 배포 가능한 수정 없이 결함을 찾는 것만으로는 충분하지 않다고 주장한다. Red Hat의 Lightwell 부사장 겸 총괄 매니저인 Gunnar Hellekson은 버그를 찾는 것은 일의 일부일 뿐이라고 말했다. 그는 400개 이상의 발견이 이뤄진 속도가 Lightwell이 얼마나 빠르게 움직일 수 있는지를 보여 준다고 덧붙였다.