Why my Azure DevOps scheduled pipeline never ran

The Bullseye Model of product velocity

The Bullseye Model reframes software delivery success beyond raw deployment speed. Using an archery metaphor, it argues that teams need both throughput and directional accuracy — consistently moving toward an ideal product-market fit. Speed matters only insofar as it enables faster feedback loops and course correction; excess velocity without feedback is wasteful or harmful. The model also addresses AI-assisted development, warning that increased throughput requires mature deployment pipelines and governance, or gains will be lost to bottlenecks. The real metric is how quickly a team closes the gap between their current product and the ideal one.

Cordyceps CI/CD Weakness Exposes Software Supply Chains to Malicious Pull Requests

Security researchers at Novee have disclosed a new CI/CD vulnerability class called 'Cordyceps' that allows attackers to exploit malicious pull requests against insecurely configured automated workflows. A scan of public repositories found 654 potentially vulnerable projects, with ~300 confirmed fully exploitable. Affected projects include Microsoft Azure Sentinel, Google's AI Agent Development Kit, Apache Doris, Cloudflare Workers SDK, and the Python Black formatter. The weakness stems not from pull requests themselves but from workflow configurations that grant excessive privileges to untrusted inputs, enabling credential theft, command injection, and malicious package publishing. Notably, AI-generated CI/CD configs may amplify the problem by replicating insecure patterns at scale. Recommended mitigations include auditing workflows for excessive permissions, applying least-privilege principles, and treating workflow YAML with the same rigor as application code.

Red Hat Enterprise Linux runner images are now in public preview

GitHub-hosted larger runners now support Red Hat Enterprise Linux (RHEL) 9 and RHEL 10 images in public preview, available for Linux x64. Developed in partnership with Red Hat, these images can serve as a foundation for custom runner images with specific tools, dependencies, and configurations. Organizations can enable them by creating a new larger runner and selecting the desired RHEL image under Linux x64 partner images.

Deploy Node servers with zero configuration

Vercel giờ đây hỗ trợ triển khai máy chủ Node.js không cần cấu hình, tự động phát hiện file server.ts ở thư mục gốc hoặc src/server.ts và triển khai dưới dạng ứng dụng Node.js. Tính năng này hoạt động song song với các backend zero-config khác như Express, Koa và NestJS, đồng thời Vercel CLI quản lý phát triển cục bộ (vc dev) và triển khai (vc deploy) mà không cần file cấu hình.

Lập trình viên Node.js sẽ tiết kiệm thời gian và tránh rắc rối khi phát triển, test và triển khai ứng dụng backend mà không cần thiết lập cấu hình thủ công.

Merging code coverage data

Phiên bản 14.0 của phpunit/php-code-coverage và 13.0 của PHPCOV đã giải quyết vấn đề lâu nay về việc hợp nhất dữ liệu coverage từ các job CI chạy song song nhờ định dạng serialization mới dùng đường dẫn tương đối, loại bỏ tiền tố namespace PHAR, và giảm tiêu thụ bộ nhớ nhờ lớp Merger hoạt động trực tiếp trên file serialized. PHPCOV 13.0 giờ có thể hợp nhất đáng tin cậy các file .cov từ nhiều môi trường khác nhau, xuất báo cáo ở nhiều định dạng như Clover, Cobertura hay HTML.

Lập trình viên cần đọc để hiểu cách cải tiến mới nhất trong việc tích hợp báo cáo độ phủ mã từ các nhiệm vụ CI chạy song song, giúp tiết kiệm thời gian và tránh lỗi khi xử lý dữ liệu phân tán trên nhiều máy khác nhau.

The Roadmap

Gary tiếp quản một ứng dụng bị lỗi nghiêm trọng với hơn 500 controller copy-paste, không có CI/CD hay quy trình triển khai, đồng thời gây lãng phí lớn trên cloud. Anh tối ưu hóa, giảm 60% chi phí cloud, tự động hóa triển khai và loại bỏ downtime. Tuy nhiên, khi tham dự cuộc họp quản lý, thay vì khen ngợi, anh bị chỉ trích vì không tuân theo roadmap lỗi thời năm 2020 và bỏ qua các lỗi chưa được theo dõi. Gary quyết định cập nhật CV.

Lập trình viên nên đọc bài này để hiểu cách chuyển đổi từ việc cải thiện ứng dụng hiện tại thành một chiến lược bền vững, từ bỏ những thói quen cũ và xây dựng sự nghiệp bằng sự quyết đoán thay vì tuân theo quy định không hiệu quả.

simonecorsi/mawesome GitHub Action has been compromised

Vào ngày 24/6/2026, repository simonecorsi/mawesome trên GitHub bị tấn công thông qua phương pháp force-push, khiến các version tags trỏ tới các commit độc hại. Các workflow sử dụng những tags này sẽ thực thi mã do kẻ tấn công kiểm soát trên GitHub Actions runners, tương tự vụ tấn công vào codfish/semantic-release-action cùng ngày.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ các GitHub Actions của mình khỏi các tấn công force-push và code injection, đặc biệt khi sử dụng các repository công cộng có thể bị lừa đảo.