יבמ ו-רד האט תיקנו יותר מ-400 פגיעויות בג'אווה

יבמ (IBM) ורד האט (Red Hat) שבבעלותה גילו ותיקנו יותר מ-400 פגיעויות שלא היו ידועות קודם לכן בספריות ג'אווה.

יוזמת לייטווול (Lightwell) של שתי החברות הוכרזה במאי השנה, בהשקעה של 5 מיליארד דולר, לצד גיוס של כ-20,000 מהנדסים – כדי לאבטח את שרשרת אספקת התוכנה בקוד פתוח. ביולי השירות הושק מסחרית. בשבוע שעבר החברות הודיעו כי לייטווול קלירינגהאוס (Lightwell Clearinghouse) – שירות המשתמש במנוע תיקון מבוסס בינה מלאכותית., ומאפשר לארגוני IT לבדוק ולתקן תוכנה בקוד פתוח – הפך לזמין במלואו לכלל הלקוחות הארגוניים. בהזדמנות זו הן גם דיווחו כי במסגרת היוזמה תוקנו יותר מ-400 פרצות אבטחה חדשות. 

AI agents exploit old dependencies at machine speed. Red Hat and @IBM have remediated more than 400 previously unknown vulnerabilities in core #Java libraries, backporting remediations directly to production apps.

Check out Lightwell Clearinghouse, now generally available: https://t.co/xEfzapvIP8

— Red Hat (@RedHat) October 6, 2026

החוקרים הופתעו מהיקף הגילוי שלהם

לפי חוקרי רד האט, "400 הפגיעויות הלא ידועות הן נתון כפול ממה שהיה צפוי שייחשף. בלא ספק עוד פגיעויות ייחשפו בעתיד – ככל שמשתמשים בכלי AI ינתחו קוד מדור קודם". הם הוסיפו כי "צוותי DevSecOps צריכים לצפות למספר דומה של פגיעויות שיתגלו בספריות שנוצרו בשפות תכנות אחרות…

ככל שתהליכי הגילוי והתיקון הם יותר אוטומטיים, כך מאמצי התיקון הופכים למהירים יותר… ארגונים שלוקח להם שלושה חודשים כדי לאמת תיקון קוד – לא יוכלו לעמוד בקצב מבול הפגיעויות".

"למרבה הצער", אמרו, "עדיין ישנם ארגונים רבים שאינם מתייחסים ברצינות מספקת לאיומים שמציבה בינה מלאכותית לאבטחת יישומים. רבים מאותם ארגונים יגלו בקרוב כמה פגיעויות קיימות אצלם – למרות שהם מניחים שהמערכות שלהם מאובטחות".

חוקרי יבמ ציינו כי "מדובר במשימה מאתגרת: עלות גילוי פגיעות עומדת כעת על עד 30 דולר. כך – היתרון הכלכלי של אבטחת יישומים ממשיך להיות לטובת התוקפים".

Four months after its launch, IBM and Red Hat’s Lightwell has remediated more than 400 previously unknown vulnerabilities in open-source Java libraries.
https://t.co/RxLGZjAgyu

#IBM #RedHat #OpenSource #Java

— Linuxiac (@linuxiac) October 7, 2026

"זיהוי חולשות לבדו כבר אינו מספיק"

שתי החברות הזהירו כי "בעידן סוכני ה-AI, גם חולשות שנחשבות לבעלות סיכון נמוך עלולות להשתלב בשרשרת תקיפה ולהוביל לפריצה למערכות ארגוניות. השימוש הגובר בסוכני AI אוטונומיים משנה את תמונת האיומים. סוכנים מתקדמים מסוגלים לחבר כמה חולשות, גם כאלה שהן בעלות סיכון נמוך, ולבנות שרשרת תקיפה שעלולה להוביל לפריצה בעלת השפעה עסקית. מצב זה מגדיל את החשיבות של איתור ותיקון חולשות הנמצאות בליבת היישומים הקריטיים של הארגונים".

לפי השתיים, "יש לחזק את שכבת הקוד הפתוח שעליה נשענים יישומים ארגוניים. זיהוי חולשות לבדו כבר אינו מספיק, והגנה על תשתיות ארגוניות מפני איומים מודרניים דורשת גם פיתוח מהיר של תיקונים והטמעתם בסביבות הייצור. היכולת של כלי AI לנצל חולשות במהירות ולהשתמש בהן כחלק משרשרת תקיפה – הופכת רכיבי IT ותיקים לשכבת סיכון שדורשת טיפול יזום".

"איתור הבאגים הוא רק חצי מהעבודה. האתגר האמיתי הוא להתאים את התיקונים ישירות ליישומים פעילים בסביבות ייצור, כך שהלקוחות הארגוניים לא יצטרכו לבחור בין אבטחה לבין זמינות המערכות. הצלחנו לאתר ולנטרל יותר מ-400 חולשות חדשות בזמן קצר. אנחנו רק בתחילת הדרך".

בהודעה על תיקון הענק, שתי החברות לא ציינו שמות וזיהוי של חולשות, לא פירטו לוחות זמנים ומשך כל תיקון, לא סיפקו נתוני חומרה של החולשות (CVE), וכן לא ציינו אילו ספריות הושפעו מהפגיעויות.