This Week in Package Management: 4 July 2026

PHP: PHP 8.4.23 Release Announcement

Nhóm phát triển PHP vừa tung ra phiên bản 8.4.23, một bản cập nhật bảo mật quan trọng cho nhánh PHP 8.4. Người dùng nên nâng cấp ngay lập tức, tải về từ trang chính thức.

Lập trình viên cần đọc để cập nhật về phí bảo mật mới trong PHP 8.4.23, giúp bảo vệ ứng dụng của mình trước các lỗ hổng nguy hiểm và duy trì an toàn cho hệ thống.

What's new in Git 2.55.0?

Git 2.55.0 bổ sung nhiều tính năng mới như lệnh git history fixup để sửa đổi commit đã …

The Most Dangerous Cyber Threats in 2026 Everyone Should Know

Năm 2026, những mối đe dọa mạng nguy hiểm bao gồm lừa đảo bằng AI, giọng nói deepfake, ransomware tống tiền kép, rủi ro từ cấu hình sai trên cloud, tấn công thiết bị di động, tái sử dụng mật khẩu, kỹ thuật xã hội tinh vi và tấn công chuỗi cung ứng. Để phòng tránh, người dùng nên sử dụng quản lý mật khẩu, bật xác thực đa yếu tố (MFA), cập nhật thiết bị thường xuyên và cẩn trọng khi nhấp vào liên kết.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống và ứng dụng của mình trước những mối đe dọa mới nổi từ AI, ransomware và các tấn công phức tạp, từ đó xây dựng các giải pháp bảo mật hiệu quả và phòng ngừa trước các cuộc tấn công trong tương lai.

Rustup update: our plans for the 1.30 release cycle

Đội ngũ phát triển rustup công bố lộ trình cho chu kỳ phát hành phiên bản 1.30, tập trung vào cải tiến hành vi cài đặt toolchain ngầm định, thay thế backend tải xuống cũ bằng reqwest với rustls, và bổ sung hỗ trợ XDG paths cùng các tính năng mới khác. Một số mục tiêu dài hạn như ký số artifact hay tăng cường an toàn tiến trình vẫn đang bị trì hoãn.

Lập trình viên nên đọc để cập nhật những thay đổi mới trong rustup như cải thiện tính bảo mật và hiệu suất, đặc biệt là việc loại bỏ backend cũ và sử dụng reqwest cùng rustls, giúp đảm bảo tính bảo mật cao hơn trong các cuộc gọi proxy như rustc và cargo.

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành CVE khi chúng không ảnh hưởng riêng biệt đến dự án của mình.

Grounding LLMs: How Function Calling Makes AI Actionable

Function calling cho phép các mô hình ngôn ngữ lớn (LLMs) tương tác với hệ thống bên ngoài thông qua việc gọi các API hoặc hàm đã định nghĩa dựa trên đầu vào của người dùng, thay vì chỉ dừng lại ở sinh văn bản. Bài viết giải thích khái niệm, minh họa cách hoạt động bằng ví dụ JSON có cấu trúc, và cung cấp hướng dẫn Python hoàn chỉnh sử dụng GPT-4 của OpenAI để xây dựng hệ thống lọc email tự động lưu trữ thư quảng cáo và đánh dấu sao thư cá nhân hoặc công việc.

Là lập trình viên muốn tự động hóa công việc hoặc tích hợp AI vào ứng dụng thực tế, bài này sẽ giúp bạn hiểu cách biến mô hình ngôn ngữ lớn thành công cụ thực hành thông qua gọi hàm, từ đó tối ưu hóa hiệu suất và tính linh hoạt của hệ thống.

Alibaba bans Claude Code over hidden Chinese user tracking

Alibaba cấm nhân viên sử dụng Claude Code sau khi phát hiện mã theo dõi ẩn nhằm xác định người dùng Trung Quốc thông qua kiểm tra múi giờ, proxy và steganography. Anthropic thừa nhận đây là thí nghiệm chống lạm dụng và đã gỡ bỏ mã này vào tháng 7, trong bối cảnh căng thẳng leo thang khi họ tố cáo Alibaba thực hiện cuộc tấn công distillation lớn nhất vào Claude.

Lập trình viên nên đọc bài này để hiểu cách các công ty như Alibaba sử dụng kỹ thuật distillation và steganography trong công cụ AI để kiểm soát và theo dõi người dùng, cảnh báo về rủi ro về quyền riêng tư và an toàn khi sử dụng các công cụ phát triển có quyền truy cập sâu vào hệ thống.