Red Hat wil Lightwell uitbreiden naar JavaScript

Lightwell wil na Java en Python uitbreiden naar JavaScript en meer bedrijven toelaten tot het Clearinghouse, zegt Red Hat-topman Ben Breard in IBM Think op 6 november.

Voor teams die een oudere versie van een open-sourcebibliotheek moeten blijven gebruiken, verandert vooral de route naar herstel. Red Hat beschrijft reparaties voor de versie die al in productie draait, met validatie en menselijke controle voordat een patch wordt verspreid. Dat kan de noodzaak van een grote upgrade verkleinen, maar alleen als de aangeboden reparatie past bij de afhankelijkheid die een organisatie gebruikt.

De 578 procent meet meldingen, niet AI-vondsten

IBM X-Force telde bij Microsoft, Oracle, Google Chrome en Apache 578 procent meer openbare CVE-meldingen in de eerste negen maanden van 2026 dan in dezelfde periode van 2025. Een CVE is het openbare registratienummer van een softwarekwetsbaarheid. IBM zegt dat de telling het aandeel van AI niet vaststelt en geen direct oorzakelijk verband aantoont. De stijging van circa 1.493 naar ruim 10.124 meldingen beschrijft dus de publicatiestroom, niet welke softwareversies Nederlandse organisaties gebruiken of wie de fouten vond.

Lightwell controleert een melding voor de patch

Breard beschrijft vooral wat Lightwell doet nadat een scanner een mogelijk lek meldt. Een klant kan een vermoede kwetsbaarheid vertrouwelijk indienen. Red Hat verwijdert volgens Breard eerst informatie waarmee de klant te herkennen is. Ontwikkelaars onderzoeken daarna of de melding klopt, omdat automatische beveiligingstools ook foutmeldingen kunnen geven.

Pas na die controle maakt Lightwell een herstelvoorstel. AI helpt bij het maken van de patch, maar ontwikkelaars controleren de voorgestelde reparatie en schakelen zo nodig specialisten in. Als een organisatie niet zonder risico naar een nieuwe versie kan overstappen, kan Red Hat de reparatie terugzetten naar de oudere versie die al draait. Red Hat test daarna of de wijziging koppelingen intact laat waarop andere toepassingen steunen.

Deelnemende klanten krijgen volgens Breard veertien dagen eerder toegang tot de fixes. Daarna stemt Red Hat de bredere bekendmaking af en werkt het met de betrokken open-sourceonderhouders aan publicatie van de reparaties. De IBM-pagina noemt JavaScript als een volgende doeltaal en zegt dat Red Hat meer klanten tot het Clearinghouse wil toelaten naarmate de capaciteit groeit. Een datum voor JavaScript, het aantal nieuwe klanten, de toegangsvoorwaarden en de prijs staan er niet bij.

De 400 fouten zijn geen cataloguslijst

Lightwell heeft al twee verschillende herstelroutes. In juli kwam Lightwell Network op de markt met ruim 6.500 geremedieerde Java- en Python-afhankelijkheden. IBM en Red Hat maakten de catalogus algemeen beschikbaar en hielden Clearinghouse Premier nog beperkt beschikbaar. Clearinghouse is de tweede route: bedrijven kunnen er een specifieke kwetsbaarheid melden en herstel voor hun situatie aanvragen.

Op 6 oktober meldde Red Hat dat Lightwell meer dan 400 voorheen onbekende kwetsbaarheden in veelgebruikte Java-bibliotheken had verholpen. De eerdere uitwerking van die stap liet zien dat de aankondiging geen bibliotheeknamen, CVE-nummers of versies noemde. De 400 is een telling van kwetsbaarheden; de 6.500 is een catalogus van afhankelijkheden. IBM en Red Hat leggen niet uit welke van die 400 fouten al in Network staan of op welke productieversies een specifieke fix past.

De zakelijke waarde hangt daardoor nog steeds af van de eigen software-inventaris. Zonder de naam en versie van een gebruikte bibliotheek kan een team niet vaststellen of een cataloguspatch toepasbaar is of dat het een eigen herstelverzoek moet indienen. De nieuwe route beschrijft wel wie een melding controleert en hoe een patch wordt getest, maar maakt nog niet openbaar welke Nederlandse organisaties toegang krijgen.

OpenAI bevestigt 948 fouten in één Linux-test

Op 4 november meldde OpenAI dat een gecontroleerde scan van de Linux-kernel 948 fouten bevestigde waarmee een lokale gebruiker beheerdersrechten kon krijgen, en patchvoorstellen genereerde. De API-kosten bedroegen volgens OpenAI 1,2 miljoen dollar. Na tien dagen waren 61 reparaties in de Linux-kernel opgenomen en hadden 43 andere een voorlopige patch. De Linux-run met 948 bevestigde fouten en 61 opgenomen reparaties na tien dagen laat zien dat modeluitvoer nog een traject via onderhouders en distributies doorloopt.

Die uitkomsten zijn niet rechtstreeks te vergelijken met IBM’s 578 procent. OpenAI beschrijft een test op één codebasis waarin kwetsbaarheden in een gecontroleerde omgeving werden gereproduceerd. IBM telt openbare meldingen bij vier leveranciers over negen maanden. Geen van beide cijfers zegt hoeveel fouten op dit moment in een specifiek Nederlands bedrijf actief zijn of welke patches daar al zijn uitgerold.

IBM’s telling, OpenAI’s Linux-proef en Lightwells herstelroute beschrijven verschillende stappen: openbare meldingen, bevestigde fouten in één gecontroleerde test en het herstel na een melding. Voor een team dat oudere software moet blijven ondersteunen, is de voorgenomen uitbreiding naar JavaScript pas concreet zodra duidelijk is welke versies en voorwaarden erbij horen en wanneer die beschikbaar komt. Tot die tijd blijft de eigen lijst met afhankelijkheden bepalend voor welke patchroute bruikbaar is.