Nudge Security Adds Two More AI Agents to SaaS Security Platform

Composer and Packagist under supply chain stress

Năm 2025-2026 là giai đoạn thử thách căng thẳng cho chuỗi cung ứng của các hệ sinh thái package, bao gồm Composer và Packagist. Bài viết đánh giá những điểm mạnh, hạn chế của PHP trong quản lý phụ thuộc, đồng thời đặt vấn đề về trách nhiệm sở hữu hạ tầng số.

Bạn nên đọc bài này để hiểu cách hệ sinh thái PHP đang đối mặt với áp lực từ chuỗi cung ứng, và cách Composer/Packagist có thể cải thiện bền vững trong tương lai, giúp lập trình viên tránh rủi ro về tính an toàn và hiệu suất trong dự án.

Zen browser: The best alternative to Firefox

Zen Browser là trình duyệt dựa trên Firefox nhưng bổ sung nhiều tính năng hiện đại mà …

Rethinking C++ Performance: Faster Code Navigation and GitHub Copilot Tools with Whole Codebase Indexing

Phương pháp lập chỉ mục mới giúp tăng tốc độ điều hướng và phân tích mã C++ bằng cách nhanh chóng xác định các biểu tượng, khai báo, định nghĩa và tham chiếu trong cơ sở mã lớn.

Lập trình viên nên đọc bài này để khám phá cách tối ưu hóa hiệu suất tìm kiếm và tương tác với mã nguồn lớn bằng công nghệ phân tích toàn bộ dự án, giúp tiết kiệm thời gian và nâng cao hiệu quả làm việc với các dự án C++ phức tạp.

World Cup grudge attackers may have scored Argentine FA access via year-old infostealer infection

Các hacker nhắm vào Hiệp hội bóng đá Argentina có thể đã xâm nhập thông qua nhiễm mã độc infostealer từ khoảng một năm trước, có liên quan đến động cơ thù địch từ World Cup. Sự cố cho thấy cách dữ liệu đăng nhập bị đánh cắp từ malware có thể bị khai thác muộn để truy cập trái phép vào hệ thống.

Là lập trình viên bảo mật, đừng bỏ qua cách kẻ tấn công lợi dụng lỗ hổng từ mã độc thu thập thông tin lâu năm để xâm nhập hệ thống, vì điều này cho thấy sự nhạy cảm của ứng dụng và cơ sở hạ tầng trong thời gian dài mà bạn chưa phát hiện.

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành CVE khi chúng không ảnh hưởng riêng biệt đến dự án của mình.

PHP: PHP 8.4.23 Release Announcement

Nhóm phát triển PHP vừa tung ra phiên bản 8.4.23, một bản cập nhật bảo mật quan trọng cho nhánh PHP 8.4. Người dùng nên nâng cấp ngay lập tức, tải về từ trang chính thức.

Lập trình viên cần đọc để cập nhật về phí bảo mật mới trong PHP 8.4.23, giúp bảo vệ ứng dụng của mình trước các lỗ hổng nguy hiểm và duy trì an toàn cho hệ thống.

Ghostcommit attack hides malicious AI instructions in images

Các nhà nghiên cứu phát hiện cuộc tấn công Ghostcommit, nơi mã độc hại được giấu trong ảnh PNG và tham chiếu qua file AGENTS.md. Khi AI coding agent xem xét pull request, nó đọc lệnh ẩn và có thể bị điều khiển tiết lộ bí mật bằng cách viết ngược vào mã nguồn dưới dạng obfuscated. Cursor và Antigravity dễ bị khai thác hơn Claude Code, bất kể model sử dụng. Biện pháp phòng thủ gồm hạn chế truy cập secret, kiểm tra file đính kèm phi văn bản và giám sát hoạt động bất thường của AI agent.

Lập trình viên nên đọc bài này để hiểu cách các tấn công mới như Ghostcommit có thể lợi dụng lỗ hổng trong quy trình code review AI để trốn tránh phát hiện và xâm nhập vào hệ thống thông qua các hình ảnh ẩn chứa lệnh độc hại.