IBM і Red Hat заявляють, що Lightwell виправив 400+ невідомих вад у Java-бібліотеках, але не розкривають подробиць

IBM і Red Hat оголосили 6 жовтня 2026 року, що їхня ініціатива Lightwell виявила та виправила понад 400 раніше невідомих вразливостей у популярних Java-бібліотеках. У тому ж оголошенні дві компанії повідомили, що Lightwell Clearinghouse тепер загальнодоступний. Це сервіс, через який корпоративні клієнти можуть передавати певні залежності з відкритим кодом і просити, щоб їх перевірили та виправили в пріоритетному порядку.

Згідно з пресрелізом, Lightwell поєднує інженерів обох компаній і зв’язки Red Hat зі спільнотами відкритого коду з інженерними процесами за підтримки ШІ, а також з інфраструктурою збирання та ланцюга постачання Red Hat. За словами компаній, він створює виправлення, адаптовані до точних версій залежностей, які клієнти вже використовують у продакшені, і переносить їх на ці версії (бекпорт), тож команди можуть застосувати патч без попереднього оновлення. Патчі постачаються через захищені репозиторії, які мають вбудовуватися в наявні сканери, конвеєри та процеси тестування. Phoronix описує Lightwell як ініціативу Red Hat у сфері ланцюга постачання, що спирається на спеціалізованих ШІ-агентів.

Чого в оголошенні немає, так це подробиць, потрібних для перевірки цифри. Help Net Security зазначає, що компанії не назвали уражені бібліотеки і не навели ні номерів CVE, ні оцінок серйозності, ні часових рамок знахідок. Phoronix так само пише, що подробиць про окремі вразливості мало, і повідомляє, що версія релізу під ембарго, розіслана кількома днями раніше, говорила про 300+ вразливостей, перш ніж цифру підвищили до 400+. Сам реліз називає знахідки то вразливостями, то помилками і не уточнює, скільки з них були серйозними.

Згідно з релізом, виправлення, що стосуються upstream-проєктів, передаються їм відповідно до правил відповідального розкриття, тоді як учасники Clearinghouse зберігають захист ембарго. Help Net Security пояснює, що це означає для всіх інших: організації, які використовують уражені бібліотеки, але не беруть участі в програмі, отримуватимуть виправлення лише через публічні upstream-релізи, коли це дозволить розкриття.

Компанії подають цю роботу в контексті атак, які здійснює ШІ, стверджуючи, що автономні ШІ-агенти можуть поєднати кілька дрібних слабких місць у ланцюжок і перетворити їх на серйознішу атаку, тож виявлення вад недостатньо без виправлень, які можна розгорнути. Gunnar Hellekson, віцепрезидент і генеральний менеджер Lightwell у Red Hat, сказав, що пошук помилок — лише частина роботи. Він додав, що швидкість 400+ знахідок показує, наскільки швидко може діяти Lightwell.