IBM et Red Hat corrigent 400 failles Java encore secrètes

IBM et Red Hat ont corrigé plus de 400 vulnérabilités jusque-là inconnues dans des bibliothèques Java largement utilisées. Ces corrections proviennent de Lightwell, leur programme consacré au code ouvert déjà déployé en production par les entreprises. L’annonce a été publiée le 8 octobre 2026. Les entreprises qui utilisent les bibliothèques concernées restent exposées jusqu’à l’application des correctifs. Les deux groupes n’ont pas identifié les bibliothèques touchées. Ils n’ont pas non plus communiqué de numéros CVE, de niveaux de gravité ou de calendrier pour ces découvertes. L’annonce détaillée présente le fonctionnement de Lightwell.

Les agents autonomes peuvent désormais combiner plusieurs faiblesses logicielles mineures pour former une attaque plus sérieuse, selon l’article. Gunnar Hellekson, vice-président et directeur général de Lightwell chez Red Hat, estime qu’un ancien code reste concerné par cette logique. Il explique que les agents ne tiennent pas compte de l’âge d’une base de code ou de sa stabilité perçue. Une seule faille peut suffire à enchaîner plusieurs attaques, selon sa déclaration. Hellekson ajoute que l’identification des bugs ne constitue qu’une partie du travail. Le correctif doit aussi être adapté aux applications actives, sans imposer un choix entre sécurité et continuité de fonctionnement.

Lightwell adapte les correctifs Java

Le rétroportage des correctifs permet à Lightwell de réécrire chaque correction pour l’ancienne version de bibliothèque encore utilisée par une entreprise. L’équipe peut ainsi appliquer le correctif sans procéder d’abord à une mise à niveau complète. Les correctifs sont transmis par des dépôts sécurisés. Ces dépôts se branchent aux outils déjà utilisés par les clients, notamment leurs scanners, leurs dépôts logiciels, leurs chaînes de développement et leurs tests. Cette méthode vise les environnements qui exécutent encore des versions anciennes. Elle associe donc la correction d’une vulnérabilité à la conservation de la version actuellement déployée, selon la présentation du programme.

Clearinghouse ajoute une demande directe des clients de Lightwell. Une entreprise peut désigner une dépendance de code ouvert précise ou une vulnérabilité qu’elle souhaite voir examinée en priorité. Lightwell analyse alors cette demande, corrige la vulnérabilité et fournit un correctif adapté à l’ancienne version utilisée. IBM et Red Hat ont rendu Lightwell Clearinghouse généralement disponible pour les clients professionnels. Les participants conservent des protections liées à l’embargo pendant le traitement. Les corrections applicables au projet amont sont ensuite transmises aux projets de code ouvert selon une procédure de divulgation responsable, indique Red Hat.

Les divulgations suivent les projets amont

Les utilisateurs hors programme recevront leur correction par la version publique amont lorsque les règles de divulgation le permettront. Ce calendrier dépend donc de la publication du correctif par le projet concerné. Les entreprises doivent d’abord déterminer si leurs environnements utilisent les bibliothèques visées. Elles doivent ensuite appliquer les versions corrigées ou les correctifs adaptés disponibles. Lightwell fournit les patchs via des dépôts sécurisés compatibles avec les scanners, les dépôts logiciels, les chaînes de développement et les tests existants. Gunnar Hellekson présente la découverte de plus de 400 vulnérabilités comme un indicateur de la rapidité actuelle de Lightwell. Il affirme également que le programme débute seulement.