IBM اور Red Hat کا کہنا ہے کہ Lightwell نے Java لائبریریوں کی 400+ نامعلوم خامیاں درست کیں، لیکن وہ کوئی تفصیل ظاہر نہیں کرتیں

IBM اور Red Hat نے 6 اکتوبر 2026 کو اعلان کیا کہ ان کے Lightwell اقدام نے مقبول Java لائبریریوں میں 400 سے زیادہ ایسی کمزوریاں دریافت کر کے ان کے پیچ تیار کیے ہیں جو پہلے معلوم نہیں تھیں۔ اسی اعلان میں دونوں کمپنیوں نے کہا کہ Lightwell Clearinghouse اب عام طور پر دستیاب ہے۔ یہ ایک سروس ہے جس کے ذریعے انٹرپرائز صارفین مخصوص اوپن سورس ڈیپنڈنسیز جمع کرا سکتے ہیں اور درخواست کر سکتے ہیں کہ ان کا جائزہ لیا جائے اور انہیں ترجیحی بنیاد پر درست کیا جائے۔

پریس ریلیز کے مطابق Lightwell دونوں کمپنیوں کے انجینئرز اور اوپن سورس کمیونٹیز کے ساتھ Red Hat کے روابط کو AI کی مدد سے چلنے والے انجینئرنگ ورک فلوز اور Red Hat کے بلڈ اور سپلائی چین انفراسٹرکچر کے ساتھ یکجا کرتا ہے۔ کمپنیوں کا کہنا ہے کہ یہ ایسی اصلاحات تیار کرتا ہے جو ڈیپنڈنسیز کے انہی ورژنز کے مطابق بنائی جاتی ہیں جو صارفین پہلے سے پروڈکشن میں چلا رہے ہیں، اور انہیں بیک پورٹ کرتا ہے، تاکہ ٹیمیں پہلے اپ گریڈ کیے بغیر پیچ لگا سکیں۔ پیچ محفوظ ریپوزیٹریز کے ذریعے فراہم کیے جاتے ہیں جن کا مقصد موجودہ اسکینرز، پائپ لائنز اور ٹیسٹنگ کے عمل میں سما جانا ہے۔ Phoronix، Lightwell کو Red Hat کی سپلائی چین سے متعلق ایک کوشش قرار دیتا ہے جو مخصوص AI ایجنٹس پر انحصار کرتی ہے۔

اعلان میں جو چیز شامل نہیں وہ تفصیل ہے جو اس عدد کی جانچ کے لیے درکار ہے۔ Help Net Security نشاندہی کرتا ہے کہ کمپنیوں نے متاثرہ لائبریریوں کے نام نہیں بتائے اور نہ کوئی CVE نمبر، نہ شدت کی درجہ بندی اور نہ ان دریافتوں کا کوئی وقت کا دورانیہ بتایا۔ Phoronix بھی کہتا ہے کہ انفرادی کمزوریوں کے بارے میں تفصیلات بہت کم ہیں، اور رپورٹ کرتا ہے کہ ریلیز کے ایک امبارگو والے ورژن میں، جو کچھ دن پہلے بھیجا گیا تھا، 300+ کمزوریوں کا ذکر تھا، اس سے پہلے کہ یہ عدد بڑھا کر 400+ کیا گیا۔ ریلیز خود ان دریافتوں کو کبھی کمزوریاں اور کبھی بگز کہتی ہے، اور یہ نہیں بتاتی کہ ان میں سے کتنی سنگین تھیں۔

ریلیز کے مطابق، جو اصلاحات اپ اسٹریم پراجیکٹس پر لاگو ہوتی ہیں وہ ذمہ دارانہ انکشاف کے اصولوں کے تحت انہیں واپس دی جاتی ہیں، جبکہ Clearinghouse کے شرکاء کو امبارگو کا تحفظ حاصل رہتا ہے۔ Help Net Security واضح کرتا ہے کہ باقی سب کے لیے اس کا کیا مطلب ہے: جو ادارے متاثرہ لائبریریاں استعمال کرتے ہیں لیکن پروگرام میں شامل نہیں، انہیں اصلاحات صرف عوامی اپ اسٹریم ریلیزز کے ذریعے ملیں گی، جب انکشاف اس کی اجازت دے۔

کمپنیاں اس کام کو AI کے ذریعے کیے جانے والے حملوں کے تناظر میں پیش کرتی ہیں، اور دلیل دیتی ہیں کہ خودمختار AI ایجنٹس کئی معمولی کمزوریوں کو جوڑ کر زیادہ سنگین حملہ بنا سکتے ہیں، اس لیے قابلِ نفاذ اصلاحات کے بغیر خامیاں تلاش کرنا کافی نہیں۔ Red Hat میں Lightwell کے نائب صدر اور جنرل مینیجر Gunnar Hellekson نے کہا کہ بگز تلاش کرنا کام کا صرف ایک حصہ ہے۔ انہوں نے مزید کہا کہ 400+ دریافتوں کی رفتار ظاہر کرتی ہے کہ Lightwell کتنی تیزی سے آگے بڑھ سکتا ہے۔