KDDI Corporation, one of Japan's largest ISPs, disclosed a data breach affecting up to 14.2 million email accounts across six ISPs. Threat actors exploited a vulnerability in unnamed third-party software to access an email system shared by STNet, JCOM, Chubu Telecommunications, NIFTY, and BIGLOBE. Exposed data includes email addresses and passwords, though some passwords were stored in hashed or encrypted form. KDDI discovered the breach on June 17, notified Japanese regulators, and is advising affected customers to reset passwords and enable 2FA.
Nguồn: https://www.bleepingcomputer.com/news/security/data-breach-exposes-up-to-142-million-email-logins-at-six-isps. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Okta ra mắt nền tảng quản trị AI Agent (Okta for AI Agents – Core) tương thích FedRAMP và HIPAA, quản lý AI Agent như danh tính cấp cao với token ngắn hạn thay thế API keys tĩnh. Tính năng bao gồm đăng ký agent, kiểm soát truy cập tối thiểu, nhật ký kiểm toán và công tắc ngắt agent độc hại, đáp ứng lệnh hành pháp về triển khai AI an toàn trong cơ quan chính phủ.
Lập trình viên cần đọc bài này để hiểu cách quản lý an toàn và tuân thủ tiêu chuẩn FedRAMP/HIPAA cho các ứng dụng AI agent, giúp họ xây dựng hệ thống bảo mật cao hơn trong môi trường công nghệ liên bang hoặc y tế.
Bài viết so sánh ba phương pháp RAG (Standard RAG, Graph RAG, Agentic RAG) về cơ chế, ưu nhược điểm và trường hợp sử dụng, đồng thời giới thiệu các cấu trúc dữ liệu mới trong Redis 8, các best practices bảo mật API, cheat sheet design patterns và mô hình Testing Pyramid.
Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa hệ thống AI bằng các kiến thức về RAG (Retrieval-Augmented Generation) và Redis 8, từ đó xây dựng giải pháp hiệu quả hơn trong việc xử lý dữ liệu và tương tác người dùng.
Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.
Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.

NLnet Labs đưa ra chính sách cấm sử dụng LLM để tạo code hoặc tài liệu trong đóng góp dự án open source (như Unbound, NSD, Krill, Routinator), yêu cầu khai báo khi dùng LLM trong giao tiếp, nhưng cho phép đề xuất sửa lỗi từ LLM kèm theo báo cáo lỗ hổng. Dịch máy bị khuyến cáo do rủi ro hiểu nhầm.
Những quy định mới của NLnet Labs giúp lập trình viên hiểu rõ trách nhiệm pháp lý và đạo đức khi sử dụng mô hình ngôn ngữ lớn trong việc viết mã, debug hoặc đóng góp vào dự án mở, tránh rủi ro về tính minh bạch và trách nhiệm cá nhân.

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.
Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.
npm tạm khóa tài khoản "high-impact" (quản lý package có 1M+ lượt tải/tuần hoặc 500+ phụ thuộc) trong 72 giờ khi phát hiện thay đổi nhạy cảm như email hay sử dụng mã khôi phục 2FA, chặn publish/token/org nhưng vẫn cho phép cài đặt. Động thái nhằm ngăn tấn công chuỗi cung ứng như axios, bổ sung cùng trusted publishing (OIDC) và staged publishing (yêu cầu review CI). Maintainer nên kiểm tra email, dùng FIDO2, bật trusted publishing (chế độ stage-only) và vô hiệu hóa token lâu dài.
Lập trình viên quản lý các gói npm phổ biến hoặc phụ thuộc vào nhiều dự án lớn nên hiểu rõ cách bảo mật mới của npm để tránh bị đóng băng tài khoản và bảo vệ hệ thống phát hành cũng như quyền truy cập trong trường hợp thay đổi nhạy cảm.
Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.
Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.
Node.js 22.23.0 (LTS) là bản cập nhật bảo mật chỉ tập trung vào dòng LTS 'Jod', vá 11 lỗ hổng CVE, bao gồm các lỗi nghiêm trọng về chuẩn hóa hostname TLS, bảo vệ độ dài cipher WebCrypto, tăng trưởng bộ nhớ không giới hạn HTTP/2, tiêm NUL byte vào DNS/net hostname, rò rỉ credential proxy, và poisoning hàng đợi HTTP. Các dependency như nghttp2, OpenSSL, llhttp, undici cũng được nâng cấp.
Lập trình viên Node.js nên đọc bài này để cập nhật các bản vá an toàn mới nhất, đặc biệt là các lỗ hổng TLS và WebCrypto có thể ảnh hưởng đến tính bảo mật của ứng dụng web của bạn.