The LAPD is ending its three-year contract with Flock Safety, a surveillance company operating a network of over 80,000 license plate reader cameras across the U.S. The department cited serious concerns over civil liberties, privacy, and data collection practices. Several other cities including Mountain View, CA and South Portland, ME have also dropped Flock contracts over similar privacy worries and concerns that federal immigration officials used the cameras in violation of local sanctuary city policies. Flock has faced additional scrutiny over security lapses that exposed cameras to the public internet, lack of multi-factor authentication on police accounts, false positive errors leading to wrongful detentions, and reports of the DEA using a local officer's credentials without authorization.
Nguồn: https://techcrunch.com/2026/07/13/lapd-lets-contract-with-surveillance-giant-flock-expire-citing-serious-concerns-over-civil-liberties-and-privacy. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Các nhà nghiên cứu phát hiện cuộc tấn công Ghostcommit, nơi mã độc hại được giấu trong ảnh PNG và tham chiếu qua file AGENTS.md. Khi AI coding agent xem xét pull request, nó đọc lệnh ẩn và có thể bị điều khiển tiết lộ bí mật bằng cách viết ngược vào mã nguồn dưới dạng obfuscated. Cursor và Antigravity dễ bị khai thác hơn Claude Code, bất kể model sử dụng. Biện pháp phòng thủ gồm hạn chế truy cập secret, kiểm tra file đính kèm phi văn bản và giám sát hoạt động bất thường của AI agent.
Lập trình viên nên đọc bài này để hiểu cách các tấn công mới như Ghostcommit có thể lợi dụng lỗ hổng trong quy trình code review AI để trốn tránh phát hiện và xâm nhập vào hệ thống thông qua các hình ảnh ẩn chứa lệnh độc hại.
Next.js sẽ chính thức triển khai chương trình phát hành bản vá bảo mật theo lịch trình định kỳ thay vì theo nhu cầu. Lần phát hành đầu tiên dự kiến vào 20/7/2026, vá lỗi cho Next.js 16.2 và 15.5 với 4 lỗ hổng nghiêm trọng (high) và 5 lỗ hổng trung bình (medium). Các lỗ hổng khẩn cấp hoặc đang bị khai thác vẫn sẽ nhận bản vá ngay lập tức.
Lập trình viên nên đọc bài này để hiểu cách Next.js quản lý bảo mật theo lịch trình, giúp bạn cập nhật nhanh chóng về các bản vá lỗ hổng cao cấp và tránh rủi ro từ các lỗ hổng chưa được khắc phục trong các phiên bản hiện tại của ứng dụng Next.js.
Các hacker nhắm vào Hiệp hội bóng đá Argentina có thể đã xâm nhập thông qua nhiễm mã độc infostealer từ khoảng một năm trước, có liên quan đến động cơ thù địch từ World Cup. Sự cố cho thấy cách dữ liệu đăng nhập bị đánh cắp từ malware có thể bị khai thác muộn để truy cập trái phép vào hệ thống.
Là lập trình viên bảo mật, đừng bỏ qua cách kẻ tấn công lợi dụng lỗ hổng từ mã độc thu thập thông tin lâu năm để xâm nhập hệ thống, vì điều này cho thấy sự nhạy cảm của ứng dụng và cơ sở hạ tầng trong thời gian dài mà bạn chưa phát hiện.
Nghị viện EU đã thông qua Chat Control 1.0 dù đa số nghị sĩ bỏ phiếu chống (314-276), vì đề nghị bác bỏ thiếu đa số tuyệt đối 361 phiếu. Luật này cho phép quét hàng loạt tin nhắn không mã hóa (Instagram, Discord, Gmail, iCloud) mà không cần lệnh tòa đến năm 2028, ngoại trừ dịch vụ end-to-end encrypted như WhatsApp. Phê bình cho rằng biện pháp này không hiệu quả, gây nhiều dương tính giả (48% cảnh báo không liên quan tội phạm, 99% báo cáo của Meta là nội dung đã biết trước) và xâm phạm quyền riêng tư. Đàm phán Chat Control 2.0 sẽ tiếp tục vào tháng 9, tranh cãi xoay quanh quét mục tiêu hay quét đại trà.
Lập trình viên nên đọc bài này để hiểu rõ cách các quy định pháp lý ảnh hưởng trực tiếp đến cơ sở hạ tầng kỹ thuật, đặc biệt là các giải pháp bảo mật end-to-end như WhatsApp, và cách chúng có thể bị đe dọa bởi chính sách giám sát rộng rãi mà không đảm bảo hiệu quả.

Một kỹ sư bảo mật xây dựng hệ thống chấm điểm tự động cho các MCP server nhằm đánh giá mức độ phù hợp sử dụng doanh nghiệp, dựa trên 29 tiêu chí như guardrails runtime, SAST scan và trust models. Kết quả cho thấy 1/10 server đạt dưới 40/100 điểm, 18% server phổ biến (trên 1000 sao GitHub) có lỗ hổng bảo mật, và 184 server thay đổi định nghĩa tool sau khi công khai — tiềm ẩn nguy cơ tấn công "rug pull". Hệ thống này miễn phí truy cập, cung cấp API cho các workflow tự động.
Lập trình viên nên đọc bài này để hiểu cách xây dựng hệ thống đánh giá an ninh tự động hóa, từ đó áp dụng kiến thức về bảo mật, kiểm tra mã và quản lý phụ thuộc để phát triển ứng dụng an toàn hơn trong thực tế.
Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.
Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành CVE khi chúng không ảnh hưởng riêng biệt đến dự án của mình.
Nhóm phát triển PHP vừa tung ra phiên bản 8.4.23, một bản cập nhật bảo mật quan trọng cho nhánh PHP 8.4. Người dùng nên nâng cấp ngay lập tức, tải về từ trang chính thức.
Lập trình viên cần đọc để cập nhật về phí bảo mật mới trong PHP 8.4.23, giúp bảo vệ ứng dụng của mình trước các lỗ hổng nguy hiểm và duy trì an toàn cho hệ thống.
Brave Origin là phiên bản tối giản của trình duyệt Brave, loại bỏ các tính năng AI, ví crypto, phần thưởng, VPN và giữ lại chặn quảng cáo/người theo dõi. Phiên bản này có giá 59,99 USD cho Windows, Android, macOS và iOS, nhưng hoàn toàn miễn phí trên Linux mà không cần tài khoản. Origin dùng chung codebase với Brave-core, có thể cài đặt song song và chuyển đổi dễ dàng qua flag.
Lập trình viên nên đọc bài này vì Origin của Brave không chỉ là phiên bản tối giản mà còn là cơ sở mã nguồn sạch cho phát triển các ứng dụng web riêng lẻ, tối ưu hóa hiệu năng và bảo mật cho các dự án Linux.