IBM et Red Hat ont annoncé que leur initiative Lightwell a permis d’identifier et de corriger plus de 400 vulnérabilités de sécurité inconnues jusqu’alors dans des bibliothèques Java largement utilisées. Cet effort s’inscrit dans un engagement plus large visant à investir 5 milliards de dollars pour améliorer la sécurité des logiciels open source. L’annonce a été faite le 6 octobre 2026, en même temps que le lancement de Lightwell Clearinghouse, un service permettant aux entreprises de soumettre des composants logiciels open source spécifiques pour des vérifications et des corrections de sécurité prioritaires. Les deux entreprises ont souligné que la correction de ces vulnérabilités dans des bibliothèques Java critiques représente une étape majeure pour faire face aux menaces croissantes pesant sur les chaînes d’approvisionnement des logiciels open source. Lightwell vise à rendre la détection et la correction des problèmes de sécurité plus efficaces, notamment en appliquant des correctifs aux anciennes versions logicielles encore utilisées dans de nombreux environnements de production. Cette approche permet aux entreprises de remédier aux failles de sécurité sans avoir à migrer vers des versions plus récentes, un processus souvent coûteux et techniquement complexe. Lightwell Clearinghouse propose une plateforme où les entreprises peuvent soumettre leurs dépendances logicielles spécifiques ou leurs vulnérabilités pour un examen et des corrections prioritaires adaptées aux versions anciennes dont elles dépendent. Le service fonctionne sur la base d’un abonnement annuel avec deux niveaux : Lightwell Network offre un accès à des correctifs vérifiés et à des logiciels corrigés pouvant être intégrés aux flux de travail existants, tandis que Lightwell Clearinghouse propose un traitement plus personnalisé. Un accès gratuit est également disponible pour certaines universités, ONG et groupes de réflexion américains. L’initiative combine les compétences en ingénierie open source d’IBM et de Red Hat avec des outils d’intelligence artificielle et une équipe de plus de 20 000 ingénieurs. Lightwell inclut un « centre d’échange d’informations d’entreprise de confiance », où une IA avancée surveille et vérifie les correctifs sur une grande partie de l’écosystème open source. Les entreprises participantes peuvent utiliser un canal confidentiel pour signaler des problèmes de sécurité, accéder à des correctifs prêts à l’emploi développés et testés par les ingénieurs d’IBM et de Red Hat, et contribuer ces solutions à la communauté open source dans son ensemble. Gunnar Hellekson, de Red Hat, a déclaré que Lightwell n’en est « qu’au début » après avoir traité plus de 400 vulnérabilités Java. Il a noté que l’identification des bugs n’est qu’une partie du défi : l’autre consiste à garantir que les clients n’aient pas à choisir entre sécurité et disponibilité des systèmes. Le processus lent et coûteux d’application des correctifs est précisément ce que Lightwell cherche à rationaliser et à étendre. Lightwell a déjà établi un catalogue initial de plus de 6 500 dépendances corrigées, signées numériquement et certifiées pour une utilisation dans les écosystèmes Java et Python. L’objectif est d’étendre cette base de milliers à potentiellement des millions de packages. Clearinghouse ajoute une couche supplémentaire en permettant aux entreprises de soumettre leurs propres dépendances pour un examen et des correctifs adaptés aux anciennes versions qu’elles utilisent encore. L’initiative se positionne comme une infrastructure de maintenance qui distribue des correctifs via des dépôts sécurisés, permettant aux entreprises de conserver leurs outils et processus existants. Le modèle économique repose sur la mutualisation des coûts élevés d’ingénierie et leur mise à disposition auprès des entreprises incapables de gérer ces tâches en interne.