When checking the URL isn't enough: phishing via the Microsoft identity platform

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng …

Public Wi-Fi isn't as dangerous as VPN ads want you to believe

Các công ty VPN thổi phồng nguy cơ của Wi-Fi công cộng để bán dịch vụ, nhưng mạng hiện đại đã an toàn hơn nhờ HTTPS phổ cập, WPA2/WPA3 bảo vệ mạng có mật khẩu, và DNS over HTTPS ngăn chặn theo dõi tên miền. Dù vẫn nên cẩn trọng (tránh HTTP, cập nhật thiết bị, không giao dịch nhạy cảm), rủi ro khi dùng Wi-Fi công cộng ít hơn nhiều so với quảng cáo.

Lập trình viên nên đọc bài này để hiểu cách bảo mật thực tế trên các mạng Wi-Fi công cộng, giúp họ đánh giá đúng mức độ rủi ro và tối ưu hóa các giải pháp bảo mật phù hợp với ứng dụng thực tế của họ.

What's the best way to do authentication in modern applications

Bài viết hướng dẫn toàn diện về bảo mật xác thực trong ứng dụng web hiện đại, từ lưu trữ JWT trong localStorage (dễ bị XSS đánh cắp) đến giải pháp an toàn hơn như token trong bộ nhớ, cookie httpOnly kết hợp bảo vệ CSRF, phiên server-side so với JWT, xoay vòng refresh token OAuth, và mô hình Backend for Frontend (BFF). Khuyến nghị chính là lưu phiên trong cookie httpOnly kèm server-side session store, sử dụng CSRF token cùng SameSite/Origin header, và đẩy toàn bộ xử lý token OAuth vào BFF để trình duyệt không bao giờ tiếp xúc trực tiếp. Ngoài ra, bài viết cũng đề cập đến mối đe dọa mới nổi là infostealer/pass-the-cookie và giải pháp bảo vệ cấp phần cứng DBSC của Chrome, kèm theo ví dụ code React để xử lý yêu cầu refresh token đồng thời.

Là người phát triển cần hiểu cách bảo mật xác thực hiện hiệu nhất để tránh các lỗ hổng như XSS, CSRF, và tấn công mới như pass-the-cookie, đồng thời tối ưu hóa hiệu suất và bảo mật cho ứng dụng hiện đại.

ConsentFix and ClickFix: How Microsoft 365 Accounts are Hijacked in 3 Seconds

Hai cuộc tấn công social engineering là ConsentFix và ClickFix lợi dụng các thao tác quen thuộc của người dùng để chiếm quyền tài khoản Microsoft 365 chỉ trong vài giây. ClickFix dụ nạn nhân thực thi lệnh do kẻ tấn công cung cấp thông qua phím tắt bàn phím, trong khi ConsentFix khai thác lỗ hổng OAuth bằng cách lôi kéo người dùng kéo liên kết callback localhost vào trình duyệt, chiếm lấy token phiên làm việc mà không cần mật khẩu hay vượt qua MFA. Đến đầu năm 2026, các hướng dẫn kỹ thuật chi tiết cùng mã nguồn và video hướng dẫn của ConsentFix đã được đăng công khai trên diễn đàn tội phạm mạng Nga, giúp giảm đáng kể rào cản thực hiện tấn công. Để phòng thủ, cần kết hợp nâng cao nhận thức người dùng và triển khai các biện pháp phát hiện kỹ thuật như giám sát hoạt động PowerShell bất thường hay đăng nhập phiên lạ.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công xã hội kỹ thuật số như ConsentFix và ClickFix exploit các quy trình làm việc thông thường của người dùng trong Microsoft 365, giúp họ phát triển các giải pháp bảo mật hiệu quả hơn, từ đó bảo vệ hệ thống và ứng dụng của mình trước các cuộc tấn công mới.

FFmpeg fixes PixelSmash flaw in widely used video decoder

Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.

Claude Sonnet 5: A Security Deep Dive for AI Agent Deployments

Claude Sonnet 5 cải thiện đáng kể khả năng chống tấn công prompt injection cho các hệ thống AI agent, giảm tỷ lệ thành công tấn công từ ~50% (Sonnet 4.6) xuống dưới 1% (và gần 0% với safeguards tích hợp). Mặc dù từ chối yêu cầu độc hại tăng từ 76,6% lên 92,4%, nhưng cũng dẫn đến từ chối cao hơn cho các tác vụ bảo mật hợp pháp. Sonnet 5 vượt trội hơn Sonnet 4.6 nhưng thấp hơn Opus 4.8 trong đánh giá khả năng tấn công mạng, với safeguards mặc định giảm điểm tấn công xuống 0 trên hầu hết tiêu chuẩn.

Lập trình viên xây dựng hệ thống AI agent phải đọc bài này để hiểu cách cải thiện an toàn chống lại tấn công prompt injection và các rủi ro bảo mật mới trong triển khai, từ đó tối ưu hóa thiết kế hệ thống mà không phụ thuộc vào các giải pháp bảo vệ bên ngoài.

The Most Dangerous Cyber Threats in 2026 Everyone Should Know

Năm 2026, những mối đe dọa mạng nguy hiểm bao gồm lừa đảo bằng AI, giọng nói deepfake, ransomware tống tiền kép, rủi ro từ cấu hình sai trên cloud, tấn công thiết bị di động, tái sử dụng mật khẩu, kỹ thuật xã hội tinh vi và tấn công chuỗi cung ứng. Để phòng tránh, người dùng nên sử dụng quản lý mật khẩu, bật xác thực đa yếu tố (MFA), cập nhật thiết bị thường xuyên và cẩn trọng khi nhấp vào liên kết.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống và ứng dụng của mình trước những mối đe dọa mới nổi từ AI, ransomware và các tấn công phức tạp, từ đó xây dựng các giải pháp bảo mật hiệu quả và phòng ngừa trước các cuộc tấn công trong tương lai.