In the year AI re-wrote the infosec rulebook, it’s comforting to know crypto exchanges still have bad security

Learn Real-World Penetration Testing: Hands-On Ethical Hacking Crash Course

Understanding how malicious actors infiltrate networks is the first step to building resilient infrastructure. To help developers and aspiring security analysts learn the fundamentals of offensive sec

A Claude agent ran inside a Pentagon network for two months, WIRED reports

‘100 percent a national security threat’: an Accenture contractor’s Claude agent appears to have sent Pentagon logins to a risky site.

Not the End, but a Shift: How AI Is Pushing Computer Science Toward Deeper Engineering

If you're studying computer science right now, or you just graduated, you've probably heard some... Tagged with career, ai, computerscience, software.

Zod 4.6.6 compromised by malware?

Một lỗ h bảo mật nghiêm trọng đã được phát hiện trong phiên bản 4.6.6 của thư viện Zod, một công cụ validation schema phổ biến trong hệ sinh thái TypeScript. Nguyên nhân kỹ thuật bắt nguồn từ commit d821685, nơi mã độc đã được tiêm vào quá trình build của thư viện. Hệ quả bao gồm việc các ứng dụng sử dụng phiên bản Zod này có nguy cơ bị tấn công và thực thi mã tùy ý. Điều đáng học là việc kiểm soát chuỗi cung ứng và tính toàn vẹn của các dependency trong dự án phần mềm là yếu tố sống còn, và nhà phát triển nên cập nhật lên phiên bản 4.6.7 ngay lập tức để vá lỗ hổng này.

Lập trình viên nên đọc bài này để cập nhật lỗ bảo mật Zod 4.6.6 và ngăn chặn mã độc ảnh hưởng đến dự án của mình.

A Shai-Hulud npm payload came back 111 days later

Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất hiện, qua mặt hoàn toàn hệ thống quét malware. Chiến thuật này khai thác khoảng trống thời gian trong cơ chế giám sát của npm, cho phép mã độc tồn tại lâu dài mà không bị phát hiện. Vụ việc này gây ra rủi ro bảo mật đáng kể cho các dự án phụ thuộc vào các package bị nhiễm. Lập trình viên nên cân nhắc thêm các bước kiểm tra bổ sung như analysis bằng công cụ như npm audit hoặc Snyk để phát hiện hành vi đáng ngờ. Điều này cho thấy giới hạn của hệ thống tự động và nhu cầu cần thiết về nhận thức cộng đồng trong việc bảo vệ ecosystem.

Bài viết này cảnh báo về mối nguy hiểm của các npm payload có khả năng ẩn mình và né qua hệ thống quét độc hại.

New Cisco firewall zero-day exploited to crash SSL VPN devices

Cisco released security updates to patch a denial-of-service zero-day in Adaptive Security Appliance (ASA) and Threat Defense (FTD) software that attackers are exploiting to remotely crash vulnerable firewall devices.

Malicious npm packages evade install-script defenses at runtime

Chiến dịch npm với package 'indexed-btree' cho thấy tấn công chuỗi cung ứng đang phát triển khi kẻ tấn công ẩn mã độc trong hành vi runtime bình thường của package thay vì trong install-script. Kẻ tấn lợi dụng Node.js để gọi hàm require một cách có điều kiện khi runtime, khiến công cụ scanning không phát hiện. Hậu quả là hàng ngàn máy chủ bị nhiễm malware do package này có trên 12.000 lượt tải hàng tháng. Bài này đáng học vì nó cho thấy cần thiết kế hệ thống bảo mật có khả năng phân tích hành vi runtime thay vì chỉ kiểm tra mã tại thời điểm cài đặt.

Bài viết này giúp lập trình viên nhận thức được lỗ hổng an ninh trong npm packages mà các công cụ hiện tại không phát hiện được.

Node.js — Node.js 24.21.0 (LTS)

Node.js 24.21.0 là phiên bản LTS mới nhất của nền tảng runtime JavaScript, tiếp tục kế thừa từ phiên bản 20.x LTS trước đó. Phiên bản này tập trung tối ưu hóa hiệu năng và sửa các lỗi bảo mật nhỏ quan trọng. Các cải tiến chính bao gồm tăng tốc độ xử lý các thao tác I/O và giảm 15% memory usage trong một số trường hợp sử dụng. Đối với lập trình viên đang làm việc với ứng dụng production cần sự ổn định, đây là bản update nên xem xét. Tuy nhiên, nếu bạn đang sử dụng các tính năng experimental thì cần kiểm tra kỹ tài liệu release note vì một API đã bị thay đổi.

Node.js 24.21.0 LTS mang lại những cải tiến hiệu suất và tính năng mới giúp lập trình viên tối ưu hóa ứng dụng JavaScript của mình.