GitHub has added support for the strictKnownMarketplaces setting in enterprise-managed configurations for GitHub Copilot CLI and VS Code. Now in public preview, this setting lets enterprises restrict plugin installations to only explicitly approved marketplaces by adding the option to their settings.json. The configuration is automatically applied to users licensed under Copilot Business or Copilot Enterprise accounts, helping organizations enforce governance policies and reduce the risk of untrusted plugin installations.
Nguồn: https://github.blog/changelog/2026-06-25-enterprise-managed-settings-now-support-strictknownmarketplaces-in-vs-code-and-the-cli. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Juan Mathews Rebello Santos trở thành người đầu tiên ở Brazil tốt nghiệp ngành an ninh mạng khi bị khiếm thị, đồng thời là nhà nghiên cứu mù đầu tiên công bố CVE (CVE-2025-26326) trên NVD của Mỹ. Anh phát hiện lỗ hổng trên các sản phẩm của Google, Microsoft, Nubank và Smiles chỉ bằng công cụ screen reader, đồng thời sáng lập BNVD.org, viết sách an ninh mạng bằng tiếng Bồ Đào Nha dành cho người khiếm thị và sở hữu hơn 50 chứng chỉ. Bài viết cũng nhấn mạnh những rào cản tiếp cận trong ngành công nghệ đối với người khiếm thị, từ hệ thống đại học không thân thiện đến hàng trăm đơn xin việc không hồi âm, và kêu gọi thiết kế bao dung là yếu tố bắt buộc, không phải sự ưu ái.
Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.
Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.
Ba công ty Cursor, GitLab và Zed đều nhận thấy GitHub đang gặp khó khăn trước khối lượng code do AI tạo ra, nhưng họ đề xuất các giải pháp khác nhau để tái xây dựng nền tảng này. Cursor giới thiệu Origin, tương thích Git nhưng tối ưu cho workload của agent; GitLab phát triển Project Switch với backend cải tiến nhằm tăng tốc độ xử lý lên 50 lần; còn Zed thay thế hoàn toàn mô hình commit bằng DeltaDB, theo dõi các thay đổi liên tục.
Những công cụ mới như Cursor, GitLab và Zed đang thay đổi cơ sở hạ tầng mã nguồn để phù hợp với thế giới AI, giúp lập trình viên hiểu cách tối ưu hóa hiệu suất, giảm chi phí và tương tác hiệu quả hơn với các công cụ tương tác tự động trong tương lai.
Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.
Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.
Một giám đốc cấp cao tại GitHub chia sẻ cách cô ấy xây dựng 40 quy trình tự động hóa bằng ứng dụng GitHub Copilot trên desktop để quản lý khối lượng công việc vô hình của vai trò lãnh đạo cấp cao. Những tự động hóa này kết nối với lịch, email, Slack và kho lưu trữ GitHub thông qua tích hợp MCP để xử lý chuẩn bị họp, sàng lọc hàng ngày, theo dõi triển khai, phát hiện PR cũ và nhật ký sự nghiệp. Cô coi tự động hóa như một công cụ hỗ trợ khả năng tiếp cận cho người mắc AuDHD, thu hẹp khoảng cách giữa những ngày có chức năng điều hành tốt và kém.
Lập trình viên nên đọc bài này để hiểu cách áp dụng tự động hóa công cụ AI như Copilot không chỉ tiết kiệm thời gian mà còn nâng cao hiệu quả làm việc và quản lý dự án thông qua cách tiếp cận thiết thực, từ nhỏ đến lớn.

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.
Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.
LinkedIn giới thiệu tính năng Connected Apps, tự động hiển thị cho nhà tuyển dụng các ứng dụng thực tế bạn sử dụng (như GitHub, Replit) trên hồ sơ thay vì chỉ kỹ năng khai báo. Dữ liệu sử dụng được lấy từ hoạt động thực tế, không thể chỉnh sửa thủ công, nhằm cung cấp bằng chứng đáng tin cậy về khả năng sử dụng công cụ. Tính năng này là tự nguyện nhưng có thể gây bất lợi nếu không kết nối ứng dụng khi nhà tuyển dụng lọc theo tiêu chí này.
Một lập trình viên nên đọc bài này để hiểu cách tăng cường sự minh bạch và uy tín trong ứng dụng khi tuyển dụng, tránh bị đánh giá thấp vì những tuyên bố kỹ năng không có bằng chứng thực tế.
Microsoft vừa phát hành Intelligent Terminal phiên bản 0.1.1 với nhiều cải tiến mới. Tính năng phát hiện và đề xuất sửa lỗi tự động giờ đây hỗ trợ Bash và WSL Bash, ngoài PowerShell. Bản cập nhật bổ sung lệnh /fix để người dùng chủ động yêu cầu trợ giúp khi lệnh thất bại, cùng /model picker để chuyển đổi mô hình AI giữa phiên. Giao diện agent được tùy biến thành Profile với tùy chọn font, màu sắc và độ mờ, đồng thời hỗ trợ Windows 10 từ bản dựng 19041 trở lên. Ngoài ra, phiên bản này cũng khắc phục các sự cố quản lý phiên, hiển thị agent trống sau lần đăng nhập đầu tiên, trạng thái tab lỗi thời khi đóng pane và đường dẫn thực thi agent.
Lập trình viên nên đọc bài này vì công cụ mới này mở rộng khả năng tương tác với Bash và WSL, giúp tối ưu hóa hiệu suất debug, tự động sửa lỗi hoặc điều chỉnh AI theo yêu cầu ngay trong terminal, từ đó tiết kiệm thời gian và nâng cao hiệu quả làm việc.