SAP warns of critical flaws in NetWeaver and Commerce Cloud

Anthropic’s Mythos found flaws in classified US systems during a government test

Mô hình AI Mythos của Anthropic đã phát hiện lỗ hổng trong các hệ thống bí mật của chính phủ Mỹ trong một cuộc thử nghiệm kiểm tra đỏ có kiểm soát, chứ không phải do tấn công từ bên ngoài. Kết quả này nhấn mạnh khả năng của Mythos trong việc tìm ra hàng nghìn lỗ hổng zero-day trên các hệ điều hành và trình duyệt lớn, dù chính phủ Mỹ từng hạn chế công khai mô hình này sau một vụ jailbreak riêng.

Những phát hiện về khả năng phát hiện lỗ hổng trong hệ thống an ninh quốc gia của Mỹ cho thấy AI mạnh mẽ như Mythos có thể trở thành công cụ quan trọng trong bảo mật, nhưng cũng đặt ra thách thức về kiểm soát và ứng dụng công bằng—là vấn đề cần thảo luận để xây dựng hệ sinh thái an toàn và minh bạch cho công nghệ AI.

Weekly Metasploit Update: Exploits for FlowiseAI CSV Agent and MacOS Package Kit

Bản cập nhật tuần này của Metasploit bổ sung ba module khai thác mới: RCE qua tiêm prompt vào Flowise CSV Agent (CVE-2026-41264), module persistence Apache .htaccess cài web shell mod_cgi trên Linux, và leo quyền nâng cao macOS thông qua PackageKit lợi dụng ~/.zshenv (CVE-2024-27822). Các cải tiến bao gồm nhận diện FTP bằng recog, bổ sung trường MCP Server tool, theo dõi yêu cầu chứng chỉ AD CS, và đầu ra trace Kerberos chi tiết hơn. Bản cập nhật cũng khắc phục lỗi sinh EXE AARCH64 cho Windows và bất đồng kiểu SID trong module RBCD.

Lập trình viên phát triển an ninh mạng hoặc bảo mật hệ thống nên đọc để cập nhật các lỗ hổng mới như CVE-2026-41264 và CVE-2024-27822, giúp họ xây dựng các giải pháp phòng ngừa và khắc phục nhanh chóng trước các cuộc tấn công mới nổi.

How I Became Brazil's First Visually Impaired Cybersecurity Graduate — and Changed Vulnerability Research

Juan Mathews Rebello Santos trở thành người đầu tiên ở Brazil tốt nghiệp ngành an ninh mạng khi bị khiếm thị, đồng thời là nhà nghiên cứu mù đầu tiên công bố CVE (CVE-2025-26326) trên NVD của Mỹ. Anh phát hiện lỗ hổng trên các sản phẩm của Google, Microsoft, Nubank và Smiles chỉ bằng công cụ screen reader, đồng thời sáng lập BNVD.org, viết sách an ninh mạng bằng tiếng Bồ Đào Nha dành cho người khiếm thị và sở hữu hơn 50 chứng chỉ. Bài viết cũng nhấn mạnh những rào cản tiếp cận trong ngành công nghệ đối với người khiếm thị, từ hệ thống đại học không thân thiện đến hàng trăm đơn xin việc không hồi âm, và kêu gọi thiết kế bao dung là yếu tố bắt buộc, không phải sự ưu ái.

Đọc bài này để hiểu cách một lập trình viên mù nhìn đã phá vỡ giới hạn kỹ thuật số bằng sự sáng tạo và kỹ năng chuyên môn, đồng thời khám phá những thách thức thực tế mà những người có khuyết tật thị giác phải đối mặt trong ngành công nghệ và cách họ có thể chuyển đổi những trở ngại thành cơ hội.

Docker vs Podman: A New Era in Secure Orchestration

Docker và Podman là hai công cụ orchestration container đang cạnh tranh trong kỷ nguyên mới về bảo mật. Podman nổi bật với kiến trúc daemon-less, hỗ trợ rootless containers, giúp tăng cường bảo mật so với Docker truyền thống.

Lập trình viên nên đọc bài này vì Docker và Podman không chỉ là công cụ quản lý container đơn giản, mà còn là hai giải pháp khác nhau về tính độc lập, bảo mật và hiệu suất, giúp bạn lựa chọn công cụ phù hợp với môi trường phát triển, sản xuất và các yêu cầu an toàn hiện đại.

Unauthenticated RCE in Motorola’s MR2600 Router

A security researcher discovered an unauthenticated remote code execution vulnerability in the Motorola MR2600 router. The exploit chains two flaws: a firmware upload endpoint that performs its authentication check after writing the file to disk (and never cleans up on failure), and a SOAP endpoint whose authentication logic uses inconsistent comparison operators — a substring match for allowlisted paths but an exact match for the denylisted path — allowing bypass by appending an allowlisted string as a query parameter. An attacker can upload a malicious unsigned firmware image and trigger flashing without any credentials, either from the LAN or remotely if remote management is enabled. Shodan shows at least 41 exposed devices. The router is end-of-life, its OTA update infrastructure is defunct, and Motorola's two divisions each disclaimed responsibility, leading to full public disclosure with no patch available.

Schneier on Security

FIFA's network had a significant security vulnerability that could be exploited by anyone with even minimal access, as detailed in a linked writeup by a security researcher.

Zimbra urges customers to patch critical web client XSS flaw

Zimbra has released version 10.1.19 to patch a critical stored XSS vulnerability in its Classic Web Client. The flaw, reported by Google's Threat Analysis Group, allows attackers to execute malicious code via specially crafted emails, potentially stealing session data, account settings, or mailbox contents. No CVE has been assigned yet, and exploitation in the wild has not been confirmed, but Zimbra urges immediate upgrades. The vulnerability is particularly concerning given Zimbra's history of being targeted by Russian state-sponsored groups like Winter Vivern, APT29, and APT28, which have repeatedly exploited Zimbra XSS flaws to compromise government, military, and diplomatic targets.