Security updates for Wednesday [LWN.net]

Exploited JFrog Artifactory bug puts software supply chain on alert

Một lỗ hổng nghiêm trọng trong JFrog Artifactory đang bị lợi dụng trong thực tế, cho phép kẻ tấn công tạo ra admin token và xâm nhập vào nền tảng này. Kẻ tấn công khai thác lỗi CVE-2023-43567, cho phép bypass xác thực và truy cập không cần mật khẩu đến Artifactory instance. Hậu quả là hàng nghìn organization sử dụng Artifactory để quản lý phần mềm bị ảnh hưởng, tiềm àng nguy cơ rò rỉ mã nguồn bí mật và thông tin nhạy cảm. Điều đáng học hỏi là các nhà phát triển cần cập nhật ngay lập tức lên phiên bản Artifactory 7.8.6 hoặc mới hơn để vá lỗi này và bảo vệ chuỗi cung ứng phần mềm.

Lập trình viên nên đọc bài này vì một lỗ hổng trong JFrog Artifactory đang bị khai thác để tấn công chuỗi cung ứng phần mềm của nhiều tổ chức.

Tryton News September 2026

Bản tin Tryton tháng 9/2026 tập trung vào việc cải thiện nội bộ trytond và các module kinh doanh. Khi một worker chết, các task đã được đặt trong hàng đợi bị bỏ qua mà không được xử lý lại, và thời gian chờ request chỉ áp dụng cho từng bước thay vì toàn bộ yêu cầu. Máy chủ hiện tự động thử lại các task bị bỏ do worker chết và áp dụng thời gian chờ cho toàn bộ request, giảm nguy cơ mất dữ liệu và request treo forever. Việc xử lý lỗi worker và thiết lập timeout toàn diện là yếu tố then chốt để nâng cao độ tin cậy của hệ thống ERP dựa trên trytond. Các nhà phát triển nên tham khảo cơ chế retry và timeout toàn request khi thiết kế các dịch vụ nền tảng tương tự.

Lập trình viên Tryton nên đọc bài này để cập nhật những cải tiến mới về ổn định server và quản lý nhiệm vụ queued, đặc biệt là cách Tryton xử lý lỗi khi công việc bị mất do worker chết, giúp phát triển ứng dụng trở nên bền vững hơn trong môi trường sản xuất.

The Agentic SOC – From AI Theater to Real Defense

Bối cảnh là cuộc đua chuyển SOC (Security Operations Center) từ mô hình cảnh báo thụ động sang SOC "agentic" có khả năng tự hành động. Nguyên nhân kỹ thuật xuất phát từ thực trạng "AI theater" khi nhiều tổ chức triển khai AI/ML chỉ để trình diễn chứ không đem lại hiệu quả đo lường được. Hệ quả là SOC truyền thống bị quá tải bởi alerts, trong khi SOC agentic có thể giảm thiểu rủi ro an ninh nhờ các tác nhân (agents) hoạt động tự động. Điều đáng học là cần ưu tiên các KPI đo lường cụ thể (như giảm 30% thời gian phản hồi) và đào tạo lại vai trò của analyst từ quản lý alerts sang quản lý các agents.

Bài viết này giúp lập trình viên hiểu cách chuyển từ "AI theater" sang phòng thủ an ninh thực tế bằng cách tập trung vào KPI đo lường được và quản lý agent hiệu quả.

curl 8.22.0

Phiên bản curl 8.22.0 vừa được ra mắt với tổng cộng 9 bản vá bảo mật và 10 CVE mới ảnh hưởng tới curl, libcurl và công cụ wcurl. Các lỗi bao gồm việc bỏ qua xác thực SASL trong OpenLDAP, lỗi use-after-free khi xử lý server push của HTTP/2, bypass việc ghim OpenSSL và bỏ qua thuộc tính cookie an toàn. Trong cùng bản cập nhật, nhà phát triển đã thêm hỗ trợ thử nghiệm cho RFC 9421 HTTP Message Signatures, tích hợp Apple GSS Framework và hỗ trợ UDP nhanh, đồng thời chặn việc fallback NTLM trong quá trình thương lượng SPNEGO và bỏ qua hỗ trợ TLS‑SRP. Dự án cũng thông báo sẽ loại bỏ sớm các tính năng như HTTP/2 Server Push, triển khai crypto cục bộ, NTLM và SMB, vì vậy các nhà phát triển cần kiểm tra lại việc sử dụng chúng trong ứng dụng. Phiên bản tiếp theo dự kiến ra mắt vào cuối tháng mười, do đó việc theo dõi nhật ký thay đổi và lên kế hoạch nâng cấp sớm sẽ giúp tránh các rủi ro bảo mật và sự gián đoạn khi các tính năng cũ bị gỡ bỏ.

Phiên bản curl 8.22.0 mang đến 9 bản vá bảo mật quan trọng mà lập trình viên cần nắm để bảo vệ ứng dụng của mình khỏi các lỗ hổng nguy hiểm.

The Real Reason I Like niri and Vim — Nick Janetakis

Bài viết chia sẻ lý do tại sao tác giả thích cả niri và Vim mặc dù chúng là hai công cụ hoàn toàn khác nhau. Cả hai đều cho phép thực hiện một tác vụ bằng nhiều cách khác nhau, từ việc cấu hình layout trong niri cho tới việc chuyển đổi giữa các mode và sử dụng plugin trong Vim. Nhờ tính linh hoạt này, tác giả có thể thay đổi phong cách làm việc mà không cần học công cụ mới, từ đó tiết kiệm thời gian và giảm sự khó khăn khi chuyển đổi môi trường. Điều này cũng giúp ông phát hiện ra các giải pháp thay thế khi một phương pháp gặp hạn chế, tăng cường khả năng giải quyết vấn đề trong phát triển phần mềm. Bài học chính là khi chọn công cụ, ưu tiên những gì cung cấp nhiều lựa chọn làm việc thay vì chỉ tập trung vào một cách duyệt đơn, vì nó làm tăng khả năng thích ứng và hiệu suất lâu dài.

Bài viết này giúp lập trình viên khám phá cách tiếp cận linh hoạt trong công cụ thông qua sự so sánh giữa niri và Vim.

Gram Editor 3.3.0 Released

Gram Editor là một trình soạn thảo mã nguồn mở được nhiều lập trình viên sử dụng để viết …

Microsoft Teams Notifications Are Now Available in Socket

Socket là nền tảng giám sát rủi ro chuỗi cung cấp phần mềm, trước đây chỉ hỗ trợ thông báo qua email hoặc Slack. Bản cập nhật mới cho phép Socket gửi cảnh báo và thông báo về tấn công chuỗi cung cấp trực tiếp tới Microsoft Teams qua kết nối webhook. Các bộ lọc được cấu hình trong Socket cho phép định tuyến từng loại cập nhật tới kênh Teams phù hợp, giảm thiểu thông báo không liên quan. Với tính năng này, nhóm phát triển và bảo mật có thể nhận được cảnh báo real‑time trong môi trường làm việc chung, shortening mean time to detect (MTTD) các sự cố. Bài học là việc tích hợp công cụ bảo mật vào nền tảng cộng tác giúp tăng khả năng nhìn thấy và phản ứng nhanh mà không cần chuyển đổi ngữ cảnh.

Socket tích hợp cảnh báo Microsoft Teams giúp lập trình viên nhận thông tin tấn công chuỗi cung ứng một cách linh hoạt qua kênh làm việc quen thuộc.