Update now: 7-Zip fixes RCE flaw exploitable with malicious archives

CISA orders feds to patch actively exploited Oracle flaw by Saturday

CISA yêu cầu các cơ quan liên bang vá lỗ hổng nghiêm trọng trong Oracle E-Business Suite, đang bị khai thác tích cực, trước thứ Bảy.

Lập trình viên nên đọc để hiểu cách bảo mật hệ thống Oracle, tìm hiểu về nguy cơ exploit mới và cách triển khai giải pháp patching hiệu quả trong các ứng dụng doanh nghiệp, giúp bảo vệ hệ thống khỏi tấn công từ các lỗ hổng này.

Anthropic’s Mythos found flaws in classified US systems during a government test

Mô hình AI Mythos của Anthropic đã phát hiện lỗ hổng trong các hệ thống bí mật của chính phủ Mỹ trong một cuộc thử nghiệm kiểm tra đỏ có kiểm soát, chứ không phải do tấn công từ bên ngoài. Kết quả này nhấn mạnh khả năng của Mythos trong việc tìm ra hàng nghìn lỗ hổng zero-day trên các hệ điều hành và trình duyệt lớn, dù chính phủ Mỹ từng hạn chế công khai mô hình này sau một vụ jailbreak riêng.

Những phát hiện về khả năng phát hiện lỗ hổng trong hệ thống an ninh quốc gia của Mỹ cho thấy AI mạnh mẽ như Mythos có thể trở thành công cụ quan trọng trong bảo mật, nhưng cũng đặt ra thách thức về kiểm soát và ứng dụng công bằng—là vấn đề cần thảo luận để xây dựng hệ sinh thái an toàn và minh bạch cho công nghệ AI.

'Yellow Teams' Are Defining the Future of AI Security

Các "yellow teams" mới nổi kết hợp giữa tấn công và phòng thủ an ninh mạng, sử dụng mô hình AI tiên tiến như Claude Mythos hay GPT-5.5 để phát hiện lỗ hổng thông qua các framework điều khiển (harness) cho phép cả red team và blue team khai thác AI hiệu quả. Các công ty như Cisco, Microsoft hay Cloudflare đã xây dựng kiến trúc harness riêng, tích hợp vào quy trình phát triển phần mềm (SDLC) nhằm ngăn chặn lỗ hổng tái diễn.

Lập trình viên nên đọc bài này để hiểu cách xây dựng các hệ thống bảo mật thông minh, từ thiết kế các harness AI an toàn cho đến cách tích hợp các mô hình AI vào quy trình phát triển an ninh mạng, giúp bảo vệ ứng dụng trước các mối đe dọa mới.

Weekly Metasploit Update: Exploits for FlowiseAI CSV Agent and MacOS Package Kit

Bản cập nhật tuần này của Metasploit bổ sung ba module khai thác mới: RCE qua tiêm prompt vào Flowise CSV Agent (CVE-2026-41264), module persistence Apache .htaccess cài web shell mod_cgi trên Linux, và leo quyền nâng cao macOS thông qua PackageKit lợi dụng ~/.zshenv (CVE-2024-27822). Các cải tiến bao gồm nhận diện FTP bằng recog, bổ sung trường MCP Server tool, theo dõi yêu cầu chứng chỉ AD CS, và đầu ra trace Kerberos chi tiết hơn. Bản cập nhật cũng khắc phục lỗi sinh EXE AARCH64 cho Windows và bất đồng kiểu SID trong module RBCD.

Lập trình viên phát triển an ninh mạng hoặc bảo mật hệ thống nên đọc để cập nhật các lỗ hổng mới như CVE-2026-41264 và CVE-2024-27822, giúp họ xây dựng các giải pháp phòng ngừa và khắc phục nhanh chóng trước các cuộc tấn công mới nổi.

How I Became Brazil's First Visually Impaired Cybersecurity Graduate — and Changed Vulnerability Research

Juan Mathews Rebello Santos trở thành người đầu tiên ở Brazil tốt nghiệp ngành an ninh mạng khi bị khiếm thị, đồng thời là nhà nghiên cứu mù đầu tiên công bố CVE (CVE-2025-26326) trên NVD của Mỹ. Anh phát hiện lỗ hổng trên các sản phẩm của Google, Microsoft, Nubank và Smiles chỉ bằng công cụ screen reader, đồng thời sáng lập BNVD.org, viết sách an ninh mạng bằng tiếng Bồ Đào Nha dành cho người khiếm thị và sở hữu hơn 50 chứng chỉ. Bài viết cũng nhấn mạnh những rào cản tiếp cận trong ngành công nghệ đối với người khiếm thị, từ hệ thống đại học không thân thiện đến hàng trăm đơn xin việc không hồi âm, và kêu gọi thiết kế bao dung là yếu tố bắt buộc, không phải sự ưu ái.

Đọc bài này để hiểu cách một lập trình viên mù nhìn đã phá vỡ giới hạn kỹ thuật số bằng sự sáng tạo và kỹ năng chuyên môn, đồng thời khám phá những thách thức thực tế mà những người có khuyết tật thị giác phải đối mặt trong ngành công nghệ và cách họ có thể chuyển đổi những trở ngại thành cơ hội.

LegacyHive: 'Bone-shattering' zero-day from Microsoft's serial tormentor not the haymaker that was promised

Experts say it’s a useful post-compromise tool, for those with the brain cells required to put it together

SAP warns of critical flaws in NetWeaver and Commerce Cloud

SAP vừa vá 16 lỗ hổng bảo mật trong các sản phẩm, trong đó có 3 lỗ hổng nghiêm trọng ảnh hưởng đến NetWeaver, Commerce Cloud và AppRouter.

Lập trình viên nên đọc bài này để cập nhật về các lỗ hổng nghiêm trọng trong hệ thống SAP—có thể ảnh hưởng trực tiếp đến ứng dụng backend của doanh nghiệp, từ đó giúp họ đánh giá rủi ro bảo mật và chuẩn bị giải pháp khắc phục kịp thời.