IBM và Red Hat cho biết Lightwell đã sửa 400+ lỗ hổng chưa từng biết trong thư viện Java, nhưng không công bố chi tiết

Ngày 6 tháng 10 năm 2026, IBM và Red Hat thông báo sáng kiến Lightwell của họ đã phát hiện và vá hơn 400 lỗ hổng trong các thư viện Java phổ biến mà trước đó chưa được biết đến. Trong cùng thông báo, hai công ty cho biết Lightwell Clearinghouse hiện đã được cung cấp rộng rãi. Đây là một dịch vụ cho phép khách hàng doanh nghiệp gửi các phụ thuộc mã nguồn mở cụ thể và yêu cầu chúng được xem xét và sửa lỗi theo diện ưu tiên.

Theo thông cáo báo chí, Lightwell kết hợp các kỹ sư của cả hai công ty và mối liên kết của Red Hat với các cộng đồng mã nguồn mở với quy trình kỹ thuật có hỗ trợ AI cùng hạ tầng build và chuỗi cung ứng của Red Hat. Hai công ty cho biết Lightwell tạo ra các bản sửa lỗi được điều chỉnh cho đúng phiên bản phụ thuộc mà khách hàng đang chạy trong môi trường production và backport chúng, để các nhóm có thể áp dụng bản vá mà không cần nâng cấp trước. Các bản vá được phân phối qua các kho lưu trữ được bảo mật, nhằm khớp với các công cụ quét, pipeline và quy trình kiểm thử hiện có. Phoronix mô tả Lightwell là một nỗ lực về chuỗi cung ứng của Red Hat dựa vào các tác tử AI chuyên biệt.

Điều mà thông báo bỏ qua là những chi tiết cần thiết để kiểm tra con số. Help Net Security lưu ý rằng hai công ty không nêu tên các thư viện bị ảnh hưởng và không đưa ra mã CVE, mức xếp hạng nghiêm trọng hay khung thời gian của các phát hiện. Phoronix cũng cho biết thông tin chi tiết về từng lỗ hổng rất ít, và đưa tin rằng một phiên bản thông cáo chịu lệnh cấm công bố (embargo) được gửi đi vài ngày trước đó nói đến 300+ lỗ hổng trước khi con số được nâng lên 400+. Bản thân thông cáo lúc gọi các phát hiện là lỗ hổng, lúc gọi là lỗi, và không cho biết bao nhiêu trong số đó là nghiêm trọng.

Theo thông cáo, các bản sửa lỗi áp dụng cho các dự án upstream được đóng góp ngược lại cho các dự án đó theo quy tắc công bố có trách nhiệm, trong khi những bên tham gia Clearinghouse vẫn được giữ quyền bảo vệ theo embargo. Help Net Security nêu rõ điều này có ý nghĩa gì với những bên còn lại: các tổ chức sử dụng các thư viện bị ảnh hưởng nhưng không tham gia chương trình sẽ chỉ nhận được bản sửa lỗi thông qua các bản phát hành upstream công khai, khi việc công bố cho phép.

Hai công ty đặt công việc này trong bối cảnh các cuộc tấn công do AI thực hiện, lập luận rằng các tác tử AI tự hành có thể xâu chuỗi nhiều điểm yếu nhỏ thành một cuộc tấn công nghiêm trọng hơn, nên chỉ tìm ra lỗ hổng là chưa đủ nếu không có bản sửa lỗi có thể triển khai. Gunnar Hellekson, phó chủ tịch kiêm tổng giám đốc Lightwell tại Red Hat, cho biết việc tìm ra lỗi chỉ là một phần công việc. Ông nói thêm rằng tốc độ của 400+ phát hiện cho thấy Lightwell có thể tiến nhanh đến mức nào.