
The Linux Foundation and a broad coalition of industry players including Amazon, Anthropic, OpenAI, NVIDIA, Microsoft, Red Hat, and others have launched Akrites, an initiative to defend critical open-source software against AI-enabled security exploits. Akrites establishes a shared Security Incident Response Team (SIRT) and a standardized Coordinated Vulnerability Disclosure (CVD) process built on confidentiality-first principles. It ensures bug fixes flow back to original projects on maintainers' terms, and will act as maintainer of last resort for critical packages with no active maintainer. The effort also coordinates with government defenders.
Nguồn: https://www.phoronix.com/news/Akrites. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Juan Mathews Rebello Santos trở thành người đầu tiên ở Brazil tốt nghiệp ngành an ninh mạng khi bị khiếm thị, đồng thời là nhà nghiên cứu mù đầu tiên công bố CVE (CVE-2025-26326) trên NVD của Mỹ. Anh phát hiện lỗ hổng trên các sản phẩm của Google, Microsoft, Nubank và Smiles chỉ bằng công cụ screen reader, đồng thời sáng lập BNVD.org, viết sách an ninh mạng bằng tiếng Bồ Đào Nha dành cho người khiếm thị và sở hữu hơn 50 chứng chỉ. Bài viết cũng nhấn mạnh những rào cản tiếp cận trong ngành công nghệ đối với người khiếm thị, từ hệ thống đại học không thân thiện đến hàng trăm đơn xin việc không hồi âm, và kêu gọi thiết kế bao dung là yếu tố bắt buộc, không phải sự ưu ái.
Mô hình AI Mythos của Anthropic đã phát hiện lỗ hổng trong các hệ thống bí mật của chính phủ Mỹ trong một cuộc thử nghiệm kiểm tra đỏ có kiểm soát, chứ không phải do tấn công từ bên ngoài. Kết quả này nhấn mạnh khả năng của Mythos trong việc tìm ra hàng nghìn lỗ hổng zero-day trên các hệ điều hành và trình duyệt lớn, dù chính phủ Mỹ từng hạn chế công khai mô hình này sau một vụ jailbreak riêng.
Những phát hiện về khả năng phát hiện lỗ hổng trong hệ thống an ninh quốc gia của Mỹ cho thấy AI mạnh mẽ như Mythos có thể trở thành công cụ quan trọng trong bảo mật, nhưng cũng đặt ra thách thức về kiểm soát và ứng dụng công bằng—là vấn đề cần thảo luận để xây dựng hệ sinh thái an toàn và minh bạch cho công nghệ AI.
Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.
Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.
Epic Games vừa giới thiệu Lore, hệ thống kiểm soát phiên bản mã nguồn mở dành riêng cho dự án game và giải trí kết hợp code với tài sản nhị phân lớn. Lore xử lý file nhị phân như thành phần chính nhờ lưu trữ theo khối, loại bỏ trùng lặp và tải dữ liệu theo nhu cầu, sử dụng kiến trúc tập trung có địa chỉ nội dung với Merkle trees và chuỗi phiên bản bất biến.
Những lập trình viên làm game hoặc phát triển dự án đa media sẽ tìm hiểu Lore vì nó giải quyết những thách thức về quản lý phiên bản và lưu trữ binary phức tạp mà Git không thể xử lý hiệu quả, đặc biệt trong môi trường cần độ ổn định và hiệu suất cao như các dự án lớn.
Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.
Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.
Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.
Godot 4.7 vừa ra mắt với hơn 300 đóng góp viên và 1.600 pull requests, tiếp tục cải thiện engine và công cụ hỗ trợ. Phiên bản này tập trung vào tối ưu hóa trải nghiệm người dùng, trong khi hệ sinh thái Godot phát triển mạnh với hơn 700 game mới trên Steam năm 2026 và hơn 1.000 game mới trên itch.io mỗi tuần.
Lập trình viên nên đọc bài này để khám phá cách Godot 4.7 nâng cấp hiệu suất và tính năng mới giúp tối ưu hóa công việc phát triển game hiệu quả hơn, từ việc cải thiện công cụ tạo ánh sáng đến tích hợp công nghệ mới trong pipeline sản xuất.

Cuộc thảo luận trên danh sách thư nội bộ PHP về việc triển khai module SNMP theo RFC do Steven Wilton khởi xướng, với những khó khăn trong việc tìm reviewer. Sau khi dọn dẹp lịch sử commit và tái cơ sở, các PR đã sẵn sàng review, trong khi Gina P. Banyard tình nguyện đảm nhận nhiệm vụ này sau khi tham dự hội nghị.
Lập trình viên PHP cần theo dõi để hiểu cách tối ưu hóa và quản lý các dự án RFC trong cộng đồng, đặc biệt khi cần hợp tác với các nhà phát triển khác để nâng cấp module SNMP hiệu quả.