Danh mục

Security

Tin mới nhất thuộc danh mục Security, tóm tắt tiếng Việt bằng AI.

Vercel11 phút10 giờ trướcAI

Vercel Flags no longer requires SDK Keys for Vercel deployments

Vercel Flags giờ đây tự động xác thực thông qua OIDC tokens ngắn hạn mà không cần SDK Keys hay biến môi trường FLAGS cho các triển khai trên Vercel. Chỉ cần vercel link và vercel env pull là đủ cho phát triển local, trong khi các dự án cũ vẫn giữ nguyên yêu cầu SDK Keys cho các trường hợp đặc biệt.

Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa quản lý tính năng động (flags) trong dự án Vercel mới nhất, giảm thiểu rủi ro về bảo mật khi sử dụng SDK Keys và khám phá giải pháp tự động hóa cho phát triển và triển khai.

#authentication #vercel Nguồn

daniel.haxx.se17 phút21 giờ trướcAI

a CVE dispute

Daniel Stenberg chia sẻ về lần tranh chấp đầu tiên liên quan đến CVE của dự án curl kể từ khi trở thành CVE Numbering Authority (CNA). Một phóng viên báo cáo lỗi wildcard certificate matching khi hostname có dấu chấm đầu tiên (tên DNS bất hợp pháp), đòi hỏi điều kiện tấn công rất cụ thể. Nhóm curl đã sửa lỗi nhưng từ chối gán CVE vì xếp mức độ nguy hiểm thấp hơn "LOW". Sau khi phóng viên khiếu nại lên MITRE, tổ chức này đã ba lần liên hệ nhưng cuối cùng vào ngày 24/6, MITRE xác nhận quyết định không cấp CVE. Bài viết cũng nhấn mạnh chi phí thực tế của CVEs khi libcurl có ~30 tỷ lượt cài đặt và lý do nhóm không muốn gây xáo trộn không cần thiết trong hệ sinh thái.

Bạn nên đọc bài này để hiểu cách các dự án công cộng như curl xử lý tranh chấp về CVE, từ đó tránh những rủi ro về quản lý thông tin bảo mật và hiệu quả trong việc phát triển phần mềm.

#security #curl

The Next Web65 phút21 giờ trướcAI

Anthropic accuses Alibaba of running largest distillation campaign against Claude

Anthropic cáo buộc phòng thí nghiệm Qwen của Alibaba đã thực hiện chiến dịch "distillation" (tinh chỉnh mô hình) quy mô lớn nhất từ trước đến nay chống lại Claude, sử dụng gần 25.000 tài khoản giả mạo để tương tác 29 triệu lần trong giai đoạn 4-6/2026. Họ kêu gọi chính phủ Mỹ hành động, bao gồm kiểm soát xuất khẩu chip AI và trừng phạt hành vi distillation, trong bối cảnh chuẩn bị IPO và đang đối mặt lệnh hạn chế xuất khẩu từ chính phủ Mỹ.

Những thông tin về chiến dịch distillation quy mô lớn của Alibaba nhằm xâm phạm khả năng kỹ thuật của Claude không chỉ là cảnh báo về rủi ro cạnh tranh công nghệ mà còn là cảnh báo về những thách thức pháp lý, chính trị và chiến lược mới đối với các công ty AI, đặc biệt khi họ đang chuẩn bị IPO và đối mặt với các hạn chế xuất khẩu từ chính phủ.

#claude

freeCodeCamp225 phút18 giờ trướcAI

How to Build Secure-by-Default Node.js APIs

Bài viết hướng dẫn xây dựng các API Node.js HTTP theo tiêu chuẩn bảo mật mặc định mà không cần phụ thuộc thư viện ngoài. Sáu biện pháp bảo vệ cốt lõi bao gồm: giới hạn kích thước body request (đo bằng bytes khi streaming), timeout request sử dụng AbortController, phân tích JSON an toàn chống tấn công prototype pollution, thiết lập tiêu đề bảo mật (CSP, HSTS, v.v.), so sánh secret an toàn bằng crypto.timingSafeEqual, và xác thực đầu vào chặt chẽ ngăn chặn mass-assignment. Ngoài ra còn giải thích CORS đúng cách, xử lý lỗi có cấu trúc với request ID, và nhấn mạnh triết lý "bảo mật mặc định tốt hơn checklist".

Lập trình viên nên đọc bài này để tránh rủi ro bảo mật khi phát triển API Node.js bằng cách áp dụng các quy tắc an toàn mặc định từ cơ sở, từ việc kiểm soát kích thước request đến xử lý mật khẩu an toàn, giúp giảm thiểu lỗ hổng mà không cần phụ thuộc vào thư viện phụ.

#security

StepSecurity14 phút11 giờ trướcAI

Mass npm Supply Chain Attack: 20 Leo Platform Packages Compromised

Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.

Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.

#security

The Next Web94 phút1 ngày trướcAI

Anthropic’s Mythos found flaws in classified US systems during a government test

Mô hình AI Mythos của Anthropic đã phát hiện lỗ hổng trong các hệ thống bí mật của chính phủ Mỹ trong một cuộc thử nghiệm kiểm tra đỏ có kiểm soát, chứ không phải do tấn công từ bên ngoài. Kết quả này nhấn mạnh khả năng của Mythos trong việc tìm ra hàng nghìn lỗ hổng zero-day trên các hệ điều hành và trình duyệt lớn, dù chính phủ Mỹ từng hạn chế công khai mô hình này sau một vụ jailbreak riêng.

Những phát hiện về khả năng phát hiện lỗ hổng trong hệ thống an ninh quốc gia của Mỹ cho thấy AI mạnh mẽ như Mythos có thể trở thành công cụ quan trọng trong bảo mật, nhưng cũng đặt ra thách thức về kiểm soát và ứng dụng công bằng—là vấn đề cần thảo luận để xây dựng hệ sinh thái an toàn và minh bạch cho công nghệ AI.

#llm

BleepingComputer294 phút2 ngày trướcAI

FFmpeg fixes PixelSmash flaw in widely used video decoder

Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.

#security #backend

The Daily WTF43 phút1 ngày trướcAI

Authorized Logger

Một nhà phát triển tên Gretchen gia nhập dự án Node.js cũ kỹ sau khi bị mua lại và phát hiện hàng loạt lỗi nghiêm trọng: logging bị hỏng chỉ in ra "DEBUG", lỗ hổng SQL injection từ truy vấn thô, thiếu middleware phân quyền trên hầu hết endpoints (kể cả API admin), codebase dừng ở Node.js 14, và dữ liệu request được đưa trực tiếp vào database mà không qua bất kỳ validation nào.

Lập trình viên nên đọc bài này để tránh rơi vào những sai lầm an toàn và thiết kế không hiệu quả trong dự án Node.js, từ đó học cách cải thiện bảo mật, quản lý lỗi và tối ưu hóa hệ thống ngay từ giai đoạn đầu.

#security #nodejs #sql

Docker507 phút9 ngày trướcAI

Docker Content Trust: Retirement and Migration Guidance

Docker Content Trust (DCT) và Notary v1 sẽ ngừng hoạt động vào ngày 8/12/2026 do ít người sử dụng (<0,05%) và mã nguồn không còn được bảo trì. Người dùng nên tắt biến môi trường DOCKER_CONTENT_TRUST, sử dụng digest để pin image, hoặc chuyển sang Sigstore/Cosign, Notation để xác thực nhà xuất bản. Docker Hardened Images cung cấp giải pháp thay thế sẵn sàng với chữ ký, provenance và SBOM tích hợp.

Lập trình viên nên đọc bài này để cập nhật về thay đổi cuối cùng của Docker, giúp bảo mật ứng dụng của mình bằng cách chuyển sang các giải pháp hiện đại như Sigstore/Cosign hoặc Docker Hardened Images trước khi hệ thống bị ngừng hỗ trợ.

#docker #containers

XDA Developers322 phút7 ngày trướcAI

Windows Search will stop searching your embarrassing typos on Bing

Windows 11 cải tiến tính năng Search nhằm khớp chính xác hơn các lỗi chính tả với ứng dụng đã cài đặt, giảm thiểu tình trạng vô tình tìm kiếm trên Bing. Bản build thử nghiệm đã xử lý các đầu vào như "tskm" thay cho "Task Manager". Microsoft cũng đang phát triển tùy chọn tìm kiếm chỉ trên thiết bị, loại trừ kết quả web và Microsoft Store.

Lập trình viên nên đọc bài này để hiểu cách cải tiến cơ sở hạ tầng tìm kiếm của Windows 11, giúp phát triển ứng dụng của mình tối ưu hóa hơn với các trường hợp nhập liệu sai chính tả và tích hợp hiệu quả hơn với hệ thống tìm kiếm nội bộ.

#windows Nguồn

BleepingComputer23 phút2 ngày trướcAI

LastPass confirms data breach in Klue supply chain attack

LastPass xác nhận dữ liệu khách hàng trong môi trường Salesforce bị truy cập sau cuộc tấn công chuỗi cung ứng nhằm vào Klue hôm 12/6. Nhóm tống tiền Icarus đã xâm nhập hạ tầng Klue bằng thông tin đăng nhập cũ, đánh cắp token OAuth kết nối Klue với Salesforce của khách hàng. Dữ liệu bị lộ bao gồm tên, số điện thoại, email, địa chỉ, thông tin hỗ trợ và dữ liệu CRM. LastPass cho biết sản phẩm cốt lõi, dịch vụ và kho dữ liệu khách hàng không bị ảnh hưởng.

Lập trình viên nên đọc bài này để hiểu rõ về cách tấn công supply chain attack hoạt động như thế nào, từ đó nâng cao kiến thức bảo mật cho các ứng dụng và hệ thống của mình, đặc biệt là khi sử dụng các dịch vụ cloud như Salesforce.

#cyber #data-breach

Node.js214 phút7 ngày trướcAI

Node.js — Node.js 22.23.0 (LTS)

Node.js 22.23.0 (LTS) là bản cập nhật bảo mật chỉ tập trung vào dòng LTS 'Jod', vá 11 lỗ hổng CVE, bao gồm các lỗi nghiêm trọng về chuẩn hóa hostname TLS, bảo vệ độ dài cipher WebCrypto, tăng trưởng bộ nhớ không giới hạn HTTP/2, tiêm NUL byte vào DNS/net hostname, rò rỉ credential proxy, và poisoning hàng đợi HTTP. Các dependency như nghttp2, OpenSSL, llhttp, undici cũng được nâng cấp.

Lập trình viên Node.js nên đọc bài này để cập nhật các bản vá an toàn mới nhất, đặc biệt là các lỗ hổng TLS và WebCrypto có thể ảnh hưởng đến tính bảo mật của ứng dụng web của bạn.

#security #javascript #nodejs

daniel.haxx.se13 phút1 ngày trướcAI

curl 8.21.0

Phiên bản curl 8.21.0 vừa ra mắt với 6 thay đổi mới, 276 bản sửa lỗi và kỷ lục 18 bản vá bảo mật (4 mức medium, 14 mức low). Tính năng mới bao gồm hỗ trợ named globs, HTTP/3 proxy CONNECT, MASQUE CONNECT-UDP và SHA256 host public key qua libssh, trong khi NTLM, SMB, TLS-SRP cùng các triển khai crypto cục bộ sẽ bị loại bỏ trong tương lai. Lịch trình phát hành tiếp theo là ngày 2 tháng 9.

Lập trình viên nên đọc bài này để cập nhật về các cập nhật bảo mật quan trọng trong phiên bản mới nhất của curl, đặc biệt là những lỗ hổng mới (bao gồm cả 14 CVE thấp cấp) và những thay đổi về tính năng an toàn, giúp bảo vệ ứng dụng của mình khỏi các nguy cơ mới trong tương lai.

#security #curl

CSO Online17 phút1 ngày trướcAI

Hole in widely-used FFmpeg codec could crash media servers or enable RCE

Lỗ hổng tràn bộ nhớ heap (CVE-2026-8461, tên "PixelSmash") trong bộ giải mã MagicYUV của FFmpeg có thể khiến máy chủ media sập hoặc cho phép thực thi mã từ xa (RCE). Các nhà nghiên cứu JFrog đã chứng minh RCE hoàn toàn trên Jellyfin và Nextcloud bằng cách tải lên file AVI 50 KB được tạo tác. FFmpeg được nhúng trong hàng trăm dự án như Kodi, OBS Studio, AWS MediaConvert, nhưng lỗ hổng đã được vá trong phiên bản 8.1.2.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng có thể khiến ứng dụng sử dụng FFmpeg bị crash hoặc bị khai thác thành Remote Code Execution (RCE), đe dọa hệ thống media server và các dự án tích hợp FFmpeg trong sản phẩm của mình.

#security

StepSecurity910 phút5 ngày trướcAI

15 Malicious JetBrains Plugins Stole AI API Keys from 70,000 Developers

Trong 8 tháng, 15 plugin giả mạo trợ lý lập trình AI trên JetBrains Marketplace đã đánh cắp khóa API của khoảng 70.000 nhà phát triển thông qua mã độc lấy thông tin đăng nhập. Các plugin này ngụy trang dưới dạng công cụ hỗ trợ DeepSeek và OpenAI, gửi dữ liệu qua HTTP không mã hóa đến máy chủ C2 ở Bắc Kinh. JetBrains đã gỡ bỏ các plugin và vô hiệu hóa tài khoản, nhưng máy chủ C2 vẫn hoạt động 3 ngày sau đó. Người dùng cần thu hồi, xoay khóa API, chặn IP 39.107.60.51, kiểm tra hóa đơn thanh toán và quét kho lưu trữ.

Lập trình viên nên đọc bài này để hiểu cách các plugin giả mạo trên JetBrains có thể trộm lấy các chìa khóa API quan trọng của mình, từ đó bảo vệ dữ liệu và API của mình khỏi các cuộc tấn công mới tương tự trong tương lai.

#cyber

Cloudflare118 phút2 ngày trướcAI

The post-quantum EO is an important milestone. Now it’s time to get to work

Sắc lệnh hành pháp 14409 của Mỹ yêu cầu các cơ quan liên bang và nhà thầu phải chuyển sang mã hóa hậu lượng tử (PQC) vào năm 2030 và xác thực hậu lượng tử vào năm 2031, nhằm ngăn chặn các cuộc tấn công "thu thập giờ đây giải mã sau". Cloudflare khuyến nghị cần làm rõ tiêu chuẩn "chuyển đổi", ưu tiên khả năng thích ứng mật mã (crypto agility) và thúc đẩy sự thống nhất toàn cầu về thuật toán NIST để tránh phân mảnh.

Lập trình viên nên đọc bài này để hiểu cách chuyển đổi sang các giải pháp mã hóa chống lượng tử (post-quantum) không chỉ là một yêu cầu pháp lý mà là một chiến lược bảo mật cấp hệ thống, giúp bảo vệ ứng dụng của bạn trước các mối đe dọa tương lai từ máy tính lượng tử trong thời gian ngắn nhất.

#security #quantum-computing

Stack Overflow Blog123 phút2 ngày trướcAI

Your AI shipped a backend that boots. That is the whole problem.

AI sinh ra code backend thường vượt qua test nhưng lại chứa lỗ hổng bảo mật nghiêm trọng như kích thước body không giới hạn, CORS wildcard cho phép credentials, fetch dễ bị SSRF, và thiếu xác thực. Giải pháp là đảo ngược các tùy chọn mặc định để lựa chọn an toàn trở nên dễ dàng hơn. DaloyJS (framework TypeScript của tác giả) thể hiện các mẫu secure-by-default như giới hạn body cứng, fetch chống SSRF, từ chối chạy wildcard CORS trong production, và ngăn chặn tấn công JWT algorithm confusion. Họ cũng giảm thiểu rủi ro supply chain bằng cách loại bỏ dependencies runtime, sử dụng npm provenance, SBOMs, và chặn cài đặt package mới trong 24 giờ đầu.

Lập trình viên nên đọc bài này để hiểu cách thiết kế lại các quy tắc an toàn mặc định trong backend, từ những lỗ hổng AI tạo code phổ biến đến giải pháp chuyển đổi các biện pháp bảo mật từ khó sang dễ thực hiện.

#security

The Next Web14 phút2 ngày trướcAI

UK weighs forcing social media platforms to surface trusted news

Chính phủ Anh đang xem xét quy định bắt buộc các nền tảng mạng xã hội như Facebook, YouTube và TikTok phải ưu tiên hiển thị nội dung từ đài truyền hình công cộng (BBC, ITV, Channel 4) nhằm chống tin giả. Đề xuất này nằm trong kế hoạch tái cấu trúc ngành phát sóng công cộng, bao gồm cả việc mở rộng quyền phát sóng miễn phí cho sự kiện thể thao trên nền tảng trực tuyến.

Lập trình viên nên đọc bài này để hiểu cách hệ sinh thái công nghệ số đang thay đổi cách truyền thông và nội dung được phân phối, từ đó giúp họ dự đoán xu hướng phát triển công nghệ mới trong tương lai.

#social-media Nguồn

The Next Web13 phút2 ngày trướcAI

IBM joins OpenAI’s cyber program to bring frontier AI into enterprise security

IBM tham gia chương trình Đối tác Cyber Daybreak của OpenAI và ra mắt dịch vụ bảo mật ứng dụng dựa trên AI, sử dụng mô hình của OpenAI để phát hiện lỗ hổng phần mềm nhanh hơn các trình quét truyền thống. Dịch vụ này hoạt động trong môi trường của khách hàng với quyền truy cập chỉ đọc mã nguồn để giảm cảnh báo sai. IBM cũng hỗ trợ Project Lightwell, sáng kiến 5 tỷ USD cùng Red Hat nhằm tăng cường bảo mật chuỗi cung ứng open-source bằng các mô hình AI tiên tiến.

Lập trình viên nên đọc để hiểu cách AI tiên tiến như OpenAI đang thay đổi cách phát hiện lỗ hổng an ninh phần mềm, giúp tối ưu hóa hiệu quả phát triển ứng dụng và bảo mật mà không cần phụ thuộc vào công cụ truyền thống.

#security #openai

Snyk010 phút3 giờ trướcAI

NVD in the AI Era: Multi-Source Vulnerability Intelligence

NIST thông báo từ tháng 4/2026, NVD sẽ chuyển sang mô hình sàng lọc dựa trên rủi ro thay vì làm giàu CVE toàn diện do khối lượng tăng vọt (từ 18.000 năm 2020 lên 48.000 năm 2025), chủ yếu nhờ nghiên cứu lỗ hổng hỗ trợ AI. Chỉ những CVE trong danh mục KEV của CISA, phần mềm chính phủ liên bang hoặc phần mềm quan trọng theo EO 14028 mới được NIST xử lý đầy đủ, buộc các đội bảo mật phải dựa vào dữ liệu đa nguồn, quy trình AI hỗ trợ xác thực và ánh xạ mức package để tránh điểm mù.

Lập trình viên nên đọc bài này để hiểu cách chuyển đổi của NVD từ mô hình phổ quát sang tập trung vào rủi ro, làm thế nào AI và các nguồn đa dạng như KEV của CISA sẽ thay đổi cách phát hiện và xử lý lỗ hổng trong dự án của mình.

#security Nguồn

XDA Developers05 phút3 giờ trướcAI

That old HDMI cable in your drawer is silently killing your TV's best features

Cáp HDMI cũ có thể vô tình chặn các tính năng cao cấp như 4K/120Hz, VRR và ALLM trên TV hay console hiện đại, ngay cả khi vẫn truyền được hình ảnh. Cáp HDMI được phân loại theo băng thông (High Speed, Premium High Speed, Ultra High Speed) chứ không phải phiên bản, trong đó console như PS5 hay Xbox Series X cần cáp Ultra High Speed để khai thác hết tính năng.

Lập trình viên nên đọc để hiểu cách các tiêu chuẩn kỹ thuật như HDMI 2.2 ảnh hưởng đến tương thích thiết bị cao cấp, giúp họ áp dụng kiến thức về truyền dữ liệu cao tốc trong thiết kế hệ thống phần mềm tương tương tác với các thiết bị công nghệ mới.

#gaming Nguồn

Schneier on Security01 phút7 giờ trướcAI

Schneier on Security

Một nghiên cứu chỉ ra LLMs dễ bị tấn công prompt injection vì chúng học cách nhận diện phong cách văn bản trong các khối vai/trình thay vì dựa vào thẻ vai (role tags). Các tác giả cho rằng thẻ vai vốn chỉ là quy ước định dạng nhưng vô tình trở thành kiến trúc bảo mật, trong khi mô hình không thực sự hiểu vai trò theo cách này. Họ kết luận rằng nếu không có nhận thức vai trò rõ ràng, các biện pháp phòng thủ sẽ chỉ phản ứng theo kiểu "bắt chước cóc".

Những kiến thức về cách các mô hình ngôn ngữ lớn bị lỗ hổng prompt injection sẽ giúp lập trình viên hiểu rõ hơn về các rủi ro thực tế trong thiết kế hệ thống AI, từ đó cải thiện an toàn và bảo mật cho các ứng dụng của họ.

#security #llm

Andrew Nesbitt09 phút7 giờ trướcAI

Scrutineer: scanning open source without flooding maintainers

Scrutineer là công cụ mã nguồn mở miễn phí (MIT) tự động hóa toàn bộ quy trình quản lý lỗ hổng bảo mật cho dự án nguồn mở, từ quét bằng AI, xác minh, tạo bản vá đến liên hệ maintainer và công bố advisory. Nó giải quyết vấn đề khi LLM phát hiện lỗ hổng nhanh hơn khả năng xử lý báo cáo của maintainer bằng cách lọc, phân loại và xác minh trước khi gửi đến họ qua GitHub's private vulnerability reporting.

Là lập trình viên phát triển phần mềm mở, Scrutineer giúp bạn tự động hóa và tối ưu hóa quá trình phát hiện và giải quyết lỗ hổng an ninh trong dự án của mình, giảm thiểu thời gian và công sức liên lạc với maintainer mà vẫn đảm bảo chất lượng.

#security #open-source

daniel.haxx.se05 phút11 giờ trướcAI

Trailing dots are the worst

curl 8.21.0 đã sửa ba lỗi do dấu chấm cuối trong hostname gây ra: không nhận dạng đúng địa chỉ IPv4 (192.168.0.1.), vô hiệu hóa logic HSTS với dấu chấm kép, và bypass Public Suffix List khi đặt cookie. Tác giả cho rằng dấu chấm cuối luôn tồn tại và sẽ tiếp tục gây lỗi cạnh trường.

Lập trình viên nên đọc bài này vì các lỗi về dấu chấm cuối (trailing dots) trong tên miền, IP hoặc cookie có thể gây ra các vấn đề bảo mật nghiêm trọng như chứng minh CVE-8924, ảnh hưởng đến TLS và xử lý cookie không an toàn.

#security #dns #curl

Red Hat Developer012 phút11 giờ trướcAI

Implement mTLS and zero trust with cert-manager and trust-manager

Red Hat giới thiệu phiên bản 1.19 của cert-manager operator cho OpenShift, bổ sung công cụ preview trust-manager nhằm tự động hóa việc xây dựng, phân phối và xoay vòng các gói tin cậy CA (CA trust bundles) trên các namespace Kubernetes. Khi kết hợp với cert-manager, hai công cụ này cho phép triển khai mTLS (mutual TLS) tự động ở quy mô lớn, hỗ trợ nguyên tắc zero trust thông qua quản lý vòng đời chứng chỉ ngắn hơn, gói tin cậy phân quyền tối thiểu theo namespace, và xoay vòng CA tự động.

Lập trình viên cần đọc bài này để hiểu cách tự động hóa và tối ưu hóa quản lý chứng thực mTLS cho ứng dụng Kubernetes, giúp giảm thiểu rủi ro bảo mật và tiết kiệm thời gian trong việc triển khai zero trust.

#kubernetes Nguồn

The Next Web03 phút12 giờ trướcAI

Actress Cate Blanchett launches a free registry tool to keep AI from using your likeness

Nữ diễn viên Cate Blanchett và nghị sĩ Eva Maydell đã ra mắt Human Consent Registry tại Nghị viện Châu Âu, một công cụ miễn phí giúp người dùng đặt điều kiện về cách AI sử dụng hình ảnh, giọng nói và tên tuổi của họ. Mặc dù không có tính pháp lý bắt buộc, registry này cung cấp điểm tham chiếu minh bạch cho sự đồng thuận, mở rộng cho cá nhân, đại lý và tổ chức.

Những người lập trình viên cần đọc bài này để hiểu cách bảo vệ quyền riêng tư và quyền sở hữu trí tuệ của người dùng trong ứng dụng AI, từ đó xây dựng hệ thống quản lý consent hiệu quả hơn trong các dự án tương tương tương tác với dữ liệu cá nhân.

#data-privacy #ethical-ai

Last9013 phút12 giờ trướcAI

High Cardinality in ClickHouse at Scale: What Actually Breaks

ClickHouse gặp vấn đề nghiêm trọng khi xử lý dữ liệu telemetry có độ phân loại cao (high-cardinality) ở quy mô lớn, với ba nguyên nhân chính gây lỗi: cạn kiệt bộ nhớ trong GROUP BY, "part explosion" từ khóa nhóm chi tiết trong materialized views, và quét full-text trên cột chưa được index. Một trường hợp sản xuất ghi nhận tốc độ 400 triệu dòng/phút gây ra 160 tác vụ merge đồng thời và độ trễ insert 40-50 giây. Giải pháp bao gồm tối ưu ORDER BY theo mẫu truy vấn, sử dụng bloom filter tokenbf_v1, giảm độ chi tiết timestamp, chuyển Map keys nóng sang LowCardinality, và tránh SELECT * trên bảng rộng.

Là lập trình viên xử lý dữ liệu lớn, bạn nên đọc bài này để tránh những lỗi ẩn giấu trong ClickHouse khi dữ liệu có tính chất cao độ phân bố (high cardinality), từ đó tối ưu hóa hiệu suất và tránh rủi ro về chi phí và độ trễ trong các query lớn.

#observability

StepSecurity01 phút17 giờ trướcAI

simonecorsi/mawesome GitHub Action has been compromised

Vào ngày 24/6/2026, repository simonecorsi/mawesome trên GitHub bị tấn công thông qua phương pháp force-push, khiến các version tags trỏ tới các commit độc hại. Các workflow sử dụng những tags này sẽ thực thi mã do kẻ tấn công kiểm soát trên GitHub Actions runners, tương tự vụ tấn công vào codfish/semantic-release-action cùng ngày.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ các GitHub Actions của mình khỏi các tấn công force-push và code injection, đặc biệt khi sử dụng các repository công cộng có thể bị lừa đảo.

#security #cyber

omg! ubuntu!02 phút18 giờ trướcAI

Ubuntu brings Livepatch to arm64 for rebootless kernel updates

Ubuntu vừa mở rộng tính năng Livepatch hỗ trợ kiến trúc arm64 lần đầu tiên trên Ubuntu 26.04 LTS và Ubuntu Core 26, cho phép cập nhật kernel bảo mật không cần khởi động lại. Tính năng này yêu cầu đăng ký Ubuntu Pro (miễn phí cho cá nhân trên 5 máy) và chỉ áp dụng cho kernel (không bao gồm linux-raspi, nên Raspberry Pi không hỗ trợ).

Là lập trình viên phát triển ứng dụng trên các hệ thống ARM64 như cloud công nghệ lớn (AWS, Azure, GCP), bạn nên đọc bài này để hiểu cách tối ưu hóa bảo mật hệ thống mà không cần tạm dừng hoạt động, giúp tăng hiệu suất và giảm thời gian downtime trong sản phẩm của mình.

#security #hardware

BleepingComputer06 phút19 giờ trướcAI

Google releases new privacy controls for activity history, personalization

Google bổ sung các điều khiển quyền riêng tư mới, tách biệt lịch sử hoạt động (Search Services History) và cá nhân hóa (Personalized Recommendations) cho Search cùng Google Play, thay vì gộp chung như trước. Theo mặc định, Google sẽ lưu trữ media (ảnh, âm thanh, video từ Google Lens, tìm kiếm bằng giọng nói) vào Search Services History nếu tính năng Web & App Activity đang bật, nhưng người dùng có thể tắt riêng mục này hoặc xóa từng mục đã lưu. Các cài đặt mới sẽ triển khai dần trong vài ngày tới.

Lập trình viên nên đọc để hiểu cách Google xử lý dữ liệu người dùng và cách bảo mật riêng tư trong ứng dụng, giúp họ phát triển các giải pháp bảo vệ dữ liệu hiệu quả hơn trong các sản phẩm công nghệ.

#data-science

externals.io07 phút21 giờ trướcAI

[RFC idea] DTLS support in ext/openssl (Openssl\Dtls)

RFC đề xuất bổ sung hỗ trợ DTLS (giao thức UDP tương đương TLS) trong ext/openssl thông qua lớp mới Openssl\Dtls, nhằm mở rộng khả năng cho các trường hợp như WebRTC, DTLS-SRTP và CoAP. Thiết kế tập trung vào lớp endpoint độc lập với transport, sử dụng memory BIOs để kiểm soát trực tiếp I/O datagram, thay vì stream wrapper truyền thống.

Lập trình viên cần đọc để khám phá cách mở rộng khả năng giao thức DTLS cho PHP, giúp giải quyết những hạn chế hiện tại trong việc hỗ trợ WebRTC, CoAP và các ứng dụng đòi hỏi giao thức UDP như TLS, từ đó tối ưu hóa hiệu suất và tính linh hoạt cho các dự án sử dụng giao thức truyền dữ liệu phân đoạn.

#security #php

Ars Technica02 phút21 giờ trướcAI

One-two punch delivered in global operation disrupts cybercrime “assembly line”

Cơ quan chức năng toàn cầu cùng các công ty công nghệ, bao gồm Microsoft, đã triệt phá một "dây chuyền lắp ráp" tội phạm mạng bằng cách tấn công đồng thời hai nền tảng malware phổ biến: Amadey (cung cấp dịch vụ malware) và StealC (cung cấp dịch vụ infostealer). Microsoft phát hiện hai công cụ này chia sẻ hạ tầng chung nhờ phân tích AI, hỗ trợ chiến dịch triệt phá phối hợp. Chiến dịch thuộc "Operation Endgame" liên quan đến việc đánh cắp hàng triệu thông tin đăng nhập và hơn 47 triệu USD từ tiền chuộc và gian lận.

Lập trình viên nên đọc bài này để hiểu cách các công ty công nghệ và cơ quan pháp luật sử dụng công nghệ AI và phân tích hệ thống để phát hiện và phá hủy các nền tảng malware được thiết kế để tự động hóa và mở rộng các cuộc tấn công cybercrime, giúp bảo vệ hệ thống của mình trước các mối đe dọa ngày càng phức tạp.

#microsoft

Dark Reading04 phút21 giờ trướcAI

Attackers Hit Cisco SD-WAN Flaw 2 Months Before Disclosure

Các hacker đã khai thác lỗ hổng leo thang đặc quyền nghiêm trọng CVE-2026-20245 trong Cisco Catalyst SD-WAN từ tháng 3/2026, trước khi Cisco công bố vào tháng 6. Lỗ hổng này cho phép kẻ tấn công thực thi lệnh root thông qua CLI do thiếu kiểm tra đầu vào, kết hợp với hai lỗ hổng bypass xác thực (CVE-2026-20182, CVE-2026-20127) để xâm nhập.

Lập trình viên nên đọc bài này để hiểu cách các tấn công phức tạp liên kết các lỗ hổng cũ mới với hệ thống SD-WAN, giúp phát hiện và phòng ngừa các cuộc tấn công từ các kẻ tấn công chuyên nghiệp trong tương lai.

#security #zero-day

BleepingComputer04 phút21 giờ trướcAI

Mandiant reveals how Cisco SD-WAN zero-day attacks gained root access

Mandiant tiết lộ cách tin tặc khai thác lỗ hổng CVE-2026-20245 (command injection) trong Cisco Catalyst SD-WAN Manager, Controller và Validator để leo thang đặc quyền lên root. Chúng tạo tài khoản 'troot' thông qua file CSV độc hại tải lên tính năng tenant-upload CLI, đồng thời xóa dấu vết bằng kỹ thuật chống pháp y. Mandiant khuyến nghị thu thập dữ liệu chẩn đoán, kiểm tra kết nối peering trái phép và nâng cấp lên phiên bản vá lỗi.

Lập trình viên nên đọc bài này để hiểu cách hacker khai thác lỗ hổng trên hệ thống SD-WAN của Cisco, từ đó tìm hiểu về kỹ thuật bảo mật mới, cách xây dựng hệ thống an toàn hơn và ứng dụng kiến thức về bảo vệ ứng dụng web và cơ sở dữ liệu trong các dự án của mình.

#security #zero-day

Simple Thread04 phút1 ngày trướcAI

The Summer Window

Sự bùng nổ của các trung tâm dữ liệu đang gây áp lực lên hệ thống lưới điện khi các tải tính toán khổng lồ có thể giảm hàng trăm megawatt trong vài giây, vượt ngoài khả năng dự đoán của hệ thống lịch bảo trì truyền thống. NERC đã cảnh báo cấp cao nhất về rủi ro này và đang bổ sung hạng mục đăng ký mới cho các "thực thể tải tính toán", trong khi ERCOT và NYISO phải đối mặt với nguy cơ thiếu hụt dự phòng nghiêm trọng trong mùa hè này.

Lập trình viên nên đọc bài này để hiểu cách các hệ thống điện lưới hiện đại đang phải đối mặt với thách thức mới từ sự gia tăng của các trung tâm dữ liệu, đòi hỏi phải nâng cấp mô hình tính toán để dự đoán và quản lý tải điện động tính chính xác hơn trong mùa hè.

Nguồn

Istio05 phút1 ngày trướcAI

Announcing Istio 1.30.2

Bản vá Istio 1.30.2 tập trung vào sửa lỗi và cập nhật bảo mật, bao gồm cải tiến logging cho Gateway API CRD, bổ sung trường trustDomains trong AuthorizationPolicy, và điều khiển thống kê Envoy qua biến môi trường mới. Bản phát hành cũng khắc phục nhiều lỗi nghiêm trọng như sự cố traffic khi thay đổi label Gateway, rò rỉ bộ nhớ trong krt controller, và vá 14 lỗ hổng CVE trong Envoy liên quan đến DoS, tràn bộ nhớ và lỗi tràn bộ đệm.

Lập trình viên cần đọc bài này để cập nhật về các cập nhật bảo mật và bug fix quan trọng trong Istio 1.30.2, đặc biệt là các CVE bảo mật mới như tấn công DoS HTTP/3 và lỗ hổng trong OAuth2, giúp bảo vệ hệ thống ứng dụng của họ khỏi các rủi ro an ninh mới.

#security #kubernetes

Istio05 phút1 ngày trướcAI

Announcing Istio 1.29.5

Istio 1.29.5 là bản vá lỗi quan trọng khắc phục 14 lỗ hổng bảo mật trong Envoy (bao gồm DoS, buffer overflow, bypass xác thực SAN) cùng nhiều bug như gián đoạn lưu lượng khi thay đổi label istio.io/rev, rò rỉ bộ nhớ trong krt controller, và panic trong multicluster secret controller. Bản cập nhật cũng sửa lỗi health-probe ipset của pod ambient sau khi node khởi động lại.

Lập trình viên cần đọc bài này để cập nhật về các bảo mật và lỗi quan trọng trong Istio 1.29.5, đặc biệt là các CVE bảo mật mới như tấn công DoS HTTP/3, lỗ hổng trong OAuth2 và Zstd, giúp bảo vệ hệ thống của bạn khỏi các rủi ro mới trong ứng dụng microservices.

#security #kubernetes

Istio03 phút1 ngày trướcAI

Istio / ISTIO-SECURITY-2026-005

Bản tư vấn bảo mật Istio ISTIO-SECURITY-2026-005 tiết lộ nhiều lỗ hổng CVE ảnh hưởng đến Envoy và Istio, đã được vá trong các phiên bản 1.29.5 và 1.28.9. Các lỗ hổng bao gồm từ chối dịch vụ (DoS) qua HTTP/3 QPACK, smuggling header PROXY protocol, use-after-free trong ext_authz filter, kiệt quệ bộ nhớ trong Zstd decompressor, lỗ hổng oracle padding trong bộ lọc OAuth2, bypass SAN validation qua NUL bytes, cùng nhiều lỗi crash/use-after-free khác.

Lập trình viên triển khai hoặc quản lý Istio nên đọc để cập nhật ngay các bản vá CVE mới nhất, đặc biệt là các lỗ hổng như tấn công DoS HTTP/3, khai thác header PROXY, hoặc lỗi sử dụng sai lần trong các filter, để tránh rủi ro bảo mật và bảo đảm hệ thống hoạt động ổn định.

#security #istio

Istio03 phút1 ngày trướcAI

Announcing Istio 1.28.9

Bản vá lỗi bảo mật Istio 1.28.9 khắc phục 13 lỗ hổng CVE trong Envoy, bao gồm các vấn đề tràn bộ nhớ, DoS, bypass xác thực SAN và lỗi giao thức PROXY. Người dùng đang chạy phiên bản 1.28.x nên nâng cấp ngay.

Lập trình viên cần đọc bài này để tránh rủi ro bảo mật nghiêm trọng như tấn công DoS, khai thác lỗ hổng Envoy (gây ảnh hưởng đến các dịch vụ proxy trong Istio) và bảo vệ ứng dụng của mình trước các biến động mới nhất trong các phiên bản patch của Istio.

#security #microservices #istio

Orca Security Blog023 phút1 ngày trướcAI

Best AI Code Security Solutions 2026: How to Secure AI-Generated Code

AI-generated code mang đến những rủi ro riêng như mẫu không an toàn mặc định, phụ thuộc ảo (slopsquatting) và sự bùng nổ phụ thuộc. Năm 2026, giải pháp bảo mật tập trung vào khả năng tiếp cận (reachability) thay vì mức độ nghiêm trọng CVSS thuần túy. Chín công cụ được so sánh, bao gồm Orca Security (code-to-cloud), Snyk (SAST/SCA cho developer), GitHub Advanced Security, Semgrep (SAST tùy chỉnh), CodeRabbit/Qodo (PR review), Aikido (AppSec cho SMBs) và Apiiro/Endor Labs (ASPM/supply-chain). Phương pháp tốt nhất là coi AI-generated code là không đáng tin cậy, sử dụng CI scan để kiểm soát merge, ghim và xác minh dependencies, ưu tiên cảnh báo dựa trên reachability.

Là lập trình viên phát triển ứng dụng sử dụng AI để tự động hóa mã, bạn cần đọc bài này để hiểu cách bảo vệ dự án trước các rủi ro mới như lỗ hổng mặc định trong mã sinh AI, phụ thuộc giả tạo và sự phồng to của các gói, từ đó tối ưu hóa quy trình phát triển an ninh hiệu quả.

#security