Upcoming Change: NTLM Removal in Git (libcurl) – Impact to Azure DevOps Server Customers

Highlights from Git 2.55

Git 2.55 ra mắt với hơn 100 nhà đóng góp, nổi bật với hỗ trợ incremental multi-pack index (MIDX) trong git repack, lệnh mới git history fixup để gộp staged changes vào commit trước, thực thi song song hooks dựa trên config, cải thiện hiệu suất sinh bitmap (giảm từ 612s xuống 294s trong benchmark), cùng nhiều tính năng mới như --path-walk cho partial clone, git format-rev, autostash trong git checkout -m, remote group cho git push và tối ưu hóa đồ thị commit.

Là người phát triển cần tìm cách tối ưu hóa công cụ quản lý dự án, Git 2.55 mang những cải tiến hiệu suất và tính năng mới giúp giảm thời gian thực hiện các tác vụ lặp đi lặp lại và mở rộng khả năng tương tác với các repo lớn hơn.

I taught a bucket to speak git

objgit là một máy chủ Git dạng single-binary thử nghiệm, lưu trữ toàn bộ repository trên object storage của Tigris mà không cần ổ đĩa cục bộ, Git binary hay database. Dự án sử dụng go-git (triển khai Git thuần Go) và lớp trừu tượng filesystem billy đã được điều chỉnh cho Tigris, đồng thời giải quyết nhiều thách thức kỹ thuật như atomic rename, stat-storm từ go-git, deadlock phân tán, cache packfile cục bộ, và lỗi cache listing. Kết quả hỗ trợ push/pull qua HTTP, git:// và SSH, với repository được tạo tự động khi push lần đầu.

Lập trình viên muốn khám phá cách tối ưu hóa kiến trúc hệ thống Git bằng cách chuyển sang lưu trữ đối tượng trên cloud mà không phụ thuộc vào đĩa cục bộ hoặc cơ sở dữ liệu, đặc biệt khi cần giải quyết các vấn đề như hiệu năng phân tán và bảo mật trong môi trường sản phẩm.

IdentityServer4 is dead. Here’s what comes next.

RSK đã fork IdentityServer4 thành Open.IdentityServer, phiên bản miễn phí và mã nguồn mở cho OpenID Connect và OAuth 2.0 trên .NET, nhằm thay thế phiên bản thương mại của Duende Software. Open.IdentityServer 1.0.0 ra mắt tháng 6/2025 với giấy phép Apache 2.0, hỗ trợ di chuyển dễ dàng từ Duende chỉ bằng thay đổi NuGet package.

Nếu bạn đang phát triển ứng dụng .NET sử dụng OAuth 2.0/OpenID Connect và muốn có một giải pháp mã nguồn mở, hỗ trợ lâu dài mà không phụ thuộc vào các giải pháp thương mại, thì Open.IdentityServer là lựa chọn thay thế đáng tin cậy và dễ triển khai ngay hôm nay.

Vercel Flags no longer requires SDK Keys for Vercel deployments

Vercel Flags giờ đây tự động xác thực thông qua OIDC tokens ngắn hạn mà không cần SDK Keys hay biến môi trường FLAGS cho các triển khai trên Vercel. Chỉ cần vercel link và vercel env pull là đủ cho phát triển local, trong khi các dự án cũ vẫn giữ nguyên yêu cầu SDK Keys cho các trường hợp đặc biệt.

Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa quản lý tính năng động (flags) trong dự án Vercel mới nhất, giảm thiểu rủi ro về bảo mật khi sử dụng SDK Keys và khám phá giải pháp tự động hóa cho phát triển và triển khai.

Announcing Claude apps gateway for Google Cloud

The Claude apps gateway is a self-hosted service that sits between local Claude Code clients and Google Cloud's Gemini Enterprise Agent Platform, solving enterprise-scale deployment challenges. It centralizes identity management via OIDC/Google Workspace, enforces RBAC policies server-side, provides verified telemetry with per-user attribution, and enforces spend caps via a Cloud SQL ledger. The post walks through a four-step setup: provisioning GCP resources (Cloud SQL, Secret Manager, service accounts), configuring gateway.yaml, deploying to Cloud Run with internal ingress, and onboarding developers via managed-settings.json. The gateway eliminates per-developer cloud credentials and enables centralized governance for organizations rolling out Claude Code at scale.

EvilTokens Campaign Reveals Device Code Phishing Ticks Up 1,380%, Powered by AI

Huntress research on the EvilTokens phishing-as-a-service (PhaaS) campaign reveals a 1,380% surge in device code phishing between H2 2025 and early 2026. The campaign abuses legitimate Microsoft 365 authentication flows via Railway.com PaaS to steal tokens at scale, with no malware or fake login pages involved. AI is central to the threat: across 344 victim organizations, no two phishing lures were identical, breaking pattern-based defenses. Security experts warn that AI has collapsed attacker timelines from weeks to hours and that MFA alone is insufficient when legitimate auth flows are exploited. Recommended defenses include restricting device code authentication, monitoring for suspicious sign-ins, revoking tokens quickly, and treating non-human identity management as a growing priority.

Hackers target Microsoft 365 accounts with 81 million login attempts

A large-scale password-spraying campaign targeted Microsoft 365 environments, generating over 81 million login attempts across a two-week period. Attackers used previously breached credentials and authenticated via Azure CLI using the ROPC OAuth flow, which bypasses MFA because it sends passwords directly to the token endpoint without triggering interactive MFA prompts. Huntress observed the campaign between June 12–26, confirming 78 compromised accounts across 64 organizations. Key vulnerabilities exploited included MFA Conditional Access Policies scoped only to specific apps or user groups, location-based MFA exclusions, and policies left in report-only mode. Huntress recorded a 155-fold increase in password-spraying activity, with organizations averaging nearly 2,000 failed login attempts per tenant monthly. The attack traffic originates from an IPv6 range owned by LSHIY LLC.