Red Hat Lightwell: peste 400 de vulnerabilități Java corectate

Lightwell, inițiativa pentru securitatea open source a IBM și Red Hat, a identificat și corectat peste 400 de vulnerabilități necunoscute până acum în biblioteci Java foarte răspândite. O relatează Infosecurity Magazine (6 octombrie 2026) și CSO Online (9 octombrie 2026), cu ocazia disponibilității generale a Lightwell Clearinghouse, serviciul căruia companiile client îi pot trimite propriile dependențe open source.

Sursele sunt două și niciuna nu publică lista vulnerabilităților sau CVE-urile atribuite: din această știre nu rezultă deci actualizări concrete de instalat. Subiectul îi privește însă pe toți cei care rulează în producție aplicații Java cu versiuni de biblioteci neschimbate de ani de zile.

Ce s-a întâmplat

Potrivit Infosecurity Magazine, cele peste 400 de vulnerabilități au fost corectate de la lansarea proiectului, în iunie, în biblioteci Java „fundamentale”; CSO Online vorbește despre vulnerabilități nedescoperite până acum în biblioteci Java larg folosite. Ambele publicații menționează angajamentul IBM și Red Hat: 5 miliarde de dolari și 20.000 de ingineri dedicați proiectului. Potrivit CSO Online, anunțul datează din mai.

Infosecurity Magazine scrie că Clearinghouse ajunge la disponibilitate generală după o fază pilot și citează printre primii utilizatori mai multe mari companii financiare din SUA și Canada, între care Bank of America, Citi, Goldman Sachs, JPMorganChase, Mastercard, Visa și Wells Fargo. În surse nu apar aderări europene.

Gunnar Hellekson, vicepreședinte Red Hat și responsabil al Lightwell, citat de ambele publicații, afirmă că agenții de IA exploatează dependențele vechi „cu viteza mașinilor” și că găsirea bugurilor este doar jumătate din muncă: restul înseamnă aducerea corecturilor pe versiunile deja aflate în producție. Infosecurity Magazine leagă inițiativa și de creșterea rapoartelor de vulnerabilități generate cu IA, adesea zgomotoase sau inexacte, care îi împovărează pe întreținătorii proiectelor open source.

Cum funcționează Lightwell

Potrivit Infosecurity Magazine, în iulie IBM și Red Hat au prezentat două oferte:

• Lightwell Network: un flux continuu de binare semnate digital, cod sursă și documentație de conformitate, inclusiv SBOM-uri (software bill of materials) complete;
• Lightwell Clearinghouse Premier: pentru clienți selectați care folosesc în producție versiuni fixate (pinned) și au nevoie de corecturi țintite și de backport.

Fluxul Premier, așa cum îl descrie publicația:

1. clientul raportează o vulnerabilitate legată de un pachet și de o versiune precise;
2. Red Hat o analizează și stabilește gravitatea, aplicabilitatea și remedierea;
3. dezvoltă un patch sau un backport pentru acea versiune;
4. se coordonează cu proiectul upstream pentru ca remedierea să fie acceptabilă tehnic;
5. compilează pachetul corectat pe propria infrastructură;
6. rezultatul este semnat și atestat, cu proveniență verificabilă;
7. clientul instalează binarul fără să mai repete singur corectarea și validarea.

Potrivit Red Hat, corecturile sunt livrate din depozite protejate care se integrează cu scanerele, depozitele, pipeline-urile CI/CD și procesele de validare deja folosite.

Tabloul tehnic: dependențele fixate

Sursele nu descriu atacuri și nici indicatori de compromitere: problema tehnică este gestionarea dependențelor. În aplicațiile Java o bibliotecă ajunge adesea ca dependență tranzitivă, prin Maven sau Gradle, și ajunge împachetată într-un JAR sau WAR: nu apare printre pachetele sistemului de operare și scapă inventarelor tradiționale. Când corectura apare doar pentru o versiune mai nouă, actualizarea poate însemna modificări de API și retestarea aplicației, motiv pentru care multe companii rămân pe versiuni vechi. Backportul aduce doar corectura pe versiunea folosită.

Ca exemplu de tipul de defect pe care îl va căuta serviciul, CSO Online citează ocolirea sandboxului motorului de șabloane Thymeleaf, critică (CVSS 9.1), descoperită în aprilie; publicația nu indică numărul CVE și nici versiunile afectate. Când o bibliotecă vulnerabilă poate fi atinsă dintr-o aplicație expusă pe Internet, exploatarea corespunde tehnicii MITRE ATT&CK T1190 (Exploit Public-Facing Application).

În fine, CSO Online amintește că Lightwell nu este singura inițiativă în domeniu: Azul oferă o evaluare gratuită a riscului de vulnerabilități pentru Java Virtual Machine.

Impactul pentru companiile europene și italiene

Pentru entitățile NIS2, securitatea lanțului de aprovizionare și gestionarea vulnerabilităților în dezvoltarea și întreținerea sistemelor sunt măsuri cerute de directivă, iar bibliotecile open source din aplicații fac parte din ele. Băncile și alte entități financiare, ca primii utilizatori citați, trebuie în plus să gestioneze riscul TIC, inclusiv cel legat de terți, conform regulamentului DORA. Cine produce software vândut în Uniunea Europeană trebuie să respecte și Cyber Resilience Act, care cere documentarea componentelor și gestionarea vulnerabilităților lor.

Lightwell este un serviciu comercial pentru clienții Red Hat: sursele nu spun dacă și când corecturile vor fi disponibile pentru toți în versiunile publicate de proiectele originale.

Ce faci acum

1. Fă inventarul bibliotecilor Java din aplicațiile tale, inclusiv dependențele tranzitive, generând un SBOM la fiecare build.
2. Identifică versiunile fixate de mult timp și cine răspunde de ele: sunt cele pentru care o corectură s-ar putea să nu vină niciodată de la proiectul original.
3. Compară SBOM-ul cu vulnerabilitățile cunoscute în mod continuu, nu doar la lansare: apar CVE-uri noi și pentru versiunile care nu se mai schimbă.
4. Verifică dacă folosești Thymeleaf și caută în avizele oficiale ale proiectului ce versiuni corectează ocolirea sandboxului.
5. Dă prioritate aplicațiilor expuse pe Internet și bibliotecilor accesibile din date de intrare externe.
6. Cere furnizorilor de software și partenerilor de dezvoltare SBOM-uri și termenele de corectare pentru bibliotecile pe care le includ.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, cu vechimea lor și cu cele deja exploatate evidențiate, iar ARX Sentry ține inventarul software-ului instalat pe calculatoare și servere. Bibliotecile împachetate în aplicații trebuie în schimb verificate cu SBOM-ul în pipeline-ul de dezvoltare. ARX Expose adaugă perspectiva din exterior: vulnerabilitățile cunoscute ale serviciilor publice și produsele recunoscute pe suprafața de atac.

Ultima actualizare: 9 octombrie 2026