Contributing to U.K. financial sector resilience as a critical third party

Check Point CTO Jonathan Zanger sees AI elevating the value of cyber

Giám đốc công nghệ toàn cầu (CTO) Jonathan Zanger của Check Point Software cho rằng AI đang thay đổi cả tấn công lẫn phòng thủ mạng, buộc phải chuyển từ bảo mật xác định (deterministic) sang phương pháp mới do bản chất phi xác định (non-deterministic) của AI. Ông nhấn mạnh AI vừa mở rộng khả năng tấn công (phishing, ransomware, malware) vừa nâng cao phòng thủ (Check Point sử dụng ~300 agent AI cho kiểm thử đỏ liên tục), đồng thời cảnh báo về lỗ hổng trong mọi nền tảng AI và nhấn mạnh ba ưu tiên: bảo vệ ứng dụng AI, bảo mật hoạt động phòng thủ bằng AI, và chống tấn công do AI thúc đẩy, kèm theo nhu cầu giải thích quyết định chặn tự động.

Là lập trình viên phát triển hệ thống AI hoặc bảo mật, bạn nên đọc bài này để hiểu cách AI thay đổi cơ sở hạ tầng bảo mật, từ đó tối ưu hóa cách xây dựng hệ thống an toàn và phòng ngừa các rủi ro mới từ các cuộc tấn công do AI tạo ra.

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành CVE khi chúng không ảnh hưởng riêng biệt đến dự án của mình.

PHP: PHP 8.4.23 Release Announcement

Nhóm phát triển PHP vừa tung ra phiên bản 8.4.23, một bản cập nhật bảo mật quan trọng cho …

AlloyDB Ships Proxy Models That Replace LLM Calls with Local Inference Inside the Database

Google giới thiệu AlloyDB AI functions với hai kỹ thuật tăng tốc cho truy vấn SQL sử dụng LLM: smart batching (gọi model theo lô, đạt 10.000 rows/giây) và kiến trúc proxy model (huấn luyện model nhẹ trong database bằng PREPARE, chạy nội bộ tới 100.000 rows/giây, giảm 6.000 lần chi phí). Proxy model hiện ở chế độ preview cho ai.if, bổ sung thêm các hàm ai.summarize, ai.agg_summarize, ai.analyze_sentiment cùng MCP server quản lý cho AI agent. Các số liệu benchmark từ thử nghiệm nội bộ cần được xác thực thêm trước khi triển khai sản xuất.

Nếu bạn đang tìm cách tối ưu hóa hiệu suất và chi phí cho ứng dụng sử dụng AI trong cơ sở dữ liệu, AlloyDB Proxy Models sẽ giúp bạn hiểu cách triển khai mô hình dự đoán trực tiếp trong DB, giảm thiểu chi phí gọi API LLM và tăng tốc xử lý dữ liệu lên hàng trăm lần.

FFmpeg fixes PixelSmash flaw in widely used video decoder

Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.

pnpm 11.10 Hardens Registry Authentication to Block Token Re...

Phiên bản pnpm 11.10 bổ sung tính năng _auth ràng buộc credential vào host URL, ngăn chặn việc chuyển hướng token tới registry độc hại. Bản cập nhật cũng khắc phục lỗi hồi quy từ tháng 6 liên quan đến biến môi trường trong registry private, đồng thời tăng cường bảo mật cho pnpm deploy và pnpm pack-app cùng nhiều cải tiến khác. Ngoài ra, người dùng có thể trải nghiệm pnpm v12 (viết bằng Rust) thông qua lệnh pnpm self-update next-12.

Lập trình viên nên đọc vì pnpm 11.10 nâng cấp bảo mật và hiệu suất bằng cách khóa xác thực đăng nhập registry theo URL, khắc phục lỗi bảo mật và hiệu suất trong các dự án sử dụng registry riêng, đồng thời giới thiệu tính năng chuẩn bị cho phiên bản Rust (v12) với tốc độ cao hơn.

Hackers can use 9 of the most popular AI tools to assemble massive botnets

Các nhà nghiên cứu phát hiện lỗ hổng tấn công "HalluSquatting" dựa trên kỹ thuật prompt injection, lợi dụng khả năng "ảo giác" (hallucination) của các mô hình ngôn ngữ lớn (LLMs) trong trợ lý lập trình AI để lây nhiễm hàng loạt máy thông qua các gói giả mạo. Chín công cụ lập trình AI phổ biến, bao gồm Cursor, Gemini CLI, GitHub Copilot, đang bị khai thác để xây dựng botnet quy mô lớn.

Lập trình viên nên đọc bài này để hiểu cách bảo mật mã nguồn của mình chống lại những cuộc tấn công mới như HalluSquatting, có thể lây lan rộng rãi qua các công cụ AI hỗ trợ lập trình mà họ đang sử dụng hàng ngày.