#azure-devops

Accenture confirms breach after hacker offers stolen data for sale

Accenture xác nhận bị xâm nhập sau khi hacker mang tên '888' tuyên bố đánh cắp 35 GB dữ liệu (bao gồm mã nguồn, RSA keys, SSH keys, tokens Azure PAT) và rao bán trên diễn đàn tội phạm mạng. Hãng khẳng định vụ việc đã được cách ly và khắc phục, không ảnh hưởng tới hoạt động, nhưng không tiết lộ phạm vi dữ liệu bị truy cập hay phương thức tấn công. Đây là lần xâm nhập thứ ba đáng chú ý của Accenture trong vài năm trở lại đây.

Lập trình viên nên đọc bài này để hiểu về các rủi ro nghiêm trọng từ việc lộ thông tin mã nguồn, mật khẩu API và khóa chìa khóa quan trọng trong môi trường phát triển cloud, đặc biệt khi các hacker đang bán dữ liệu này trên thị trường đen để khai thác lợi nhuận từ các vụ tấn công sau đó.

Enabling diagnostics in a YAML pipeline in Azure DevOps

Để kích hoạt chế độ debug chi tiết trong pipeline YAML của Azure DevOps, bạn thiết lập biến system.debug: true, tương đương với tùy chọn "Enable system diagnostics" thủ công nhưng áp dụng được cho mọi loại run (CI, scheduled). Chế độ debug cung cấp thông tin về phân giải biến, quyết định tác vụ nội bộ và tài nguyên hệ thống (disk, memory, CPU) từng bước, đồng thời hỗ trợ chẩn đoán mạng qua Agent.Diagnostic trên agent phiên bản v2.200.0+; nên tắt sau khi debug xong để tránh log rườm rà.

Những chi tiết về cách kích hoạt logging chi tiết trong YAML pipeline Azure DevOps sẽ giúp bạn nhanh chóng tìm ra nguyên nhân lỗi ngay trong các trường hợp debug CI/CD, đặc biệt khi gặp các vấn đề không rõ nguyên nhân từ biến, quyết định của task hoặc tài nguyên hệ thống.

Test reporting in Microsoft.Testing.Platform: from red build to root cause

Microsoft.Testing.Platform (MTP) 2.3+ cải tiến mạnh mẽ báo cáo test trong CI với các tính năng như ghi chú lỗi inline trên GitHub Actions/Azure DevOps, streaming kết quả trực tiếp, phát hiện flaky/regression dựa trên lịch sử pipeline, lưu trữ TRX liên tục tránh mất dữ liệu khi crash. Hỗ trợ đồng thời nhiều định dạng output (TRX, HTML, JUnit, CTRF), đặt tên file linh hoạt, schema JSON ổn định cho automation/IDE, cùng các tính năng chuyên biệt cho Azure DevOps như cách ly test flaky, phát hiện test chậm, upload artifact tự động.

Lập trình viên nên đọc bài này để hiểu cách tối ưu hóa báo cáo lỗi trong CI/CD bằng Microsoft.Testing.Platform, giúp giảm thời gian debug, phân tích nguyên nhân gốc của lỗi và tự động hóa quản lý các trường hợp flaky hoặc regression thông qua các tính năng mới như lưu trữ TRX, streaming kết quả và tích hợp với Azure DevOps.

Azure DevOps Remote MCP Server Reaches General Availability

Microsoft đã phát hành Azure DevOps Remote MCP Server dưới dạng dịch vụ đám mây sẵn sàng sử dụng, cho phép các trợ lý AI kết nối an toàn tới dự án Azure DevOps mà không cần cài đặt tại chỗ. Các nhà phát triển có thể cấu hình AI client kết nối qua endpoint https://mcp.dev.azure.com/{organization} bằng Streamable HTTP và Microsoft Entra authentication, hỗ trợ VS Code, GitHub Copilot, Microsoft AI Foundry, Copilot Studio, Visual Studio và GitHub Copilot CLI.

Lập trình viên nên đọc bài này để khám phá cách Azure DevOps Remote MCP Server mở rộng khả năng tích hợp AI vào công cụ phát triển thông qua kết nối cloud an toàn, giúp tiết kiệm thời gian và cải thiện hiệu suất trong việc viết mã, debug, và tối ưu hóa dự án.

Find any commit in seconds: Commit Search comes to Azure DevOps

Great code has a long memory. The fix you shipped last quarter, the refactor that touched a dozen files, the one-line change that explained why something

Azure DevOps MCP Flaw: How to Lock Down Your AI Review Agent Before Microsoft Patches It

Nghiên cứu viên phát hiện lỗ hổng trong Azure DevOps MCP server của Microsoft, cho phép kẻ tấn công sử dụng HTML comment ẩn trong mô tả pull request để chiếm quyền điều khiển agent AI thông qua prompt injection. Lỗ hổng xảy ra do công cụ truy xuất PR không bao bọc nội dung không tin cậy bằng dấu phân cách, khiến hướng dẫn ẩn được xem như văn bản đáng tin cậy. Kẻ tấn công có quyền ghi trong một repo có thể khai thác agent của nạn nhân để di chuyển toàn bộ tổ chức. Các biện pháp khắc phục tạm thời bao gồm giới hạn PAT theo dự án, hạn chế domain công cụ MCP, yêu cầu phê duyệt thủ công cho hành động đa dự án và ghi log hoạt động agent. Hiện chưa có CVE hay bản vá nào.

Lập trình viên nên đọc bài này để hiểu cách bảo mật các hệ thống tự động hóa mã nguồn như AI review agent có thể bị tấn công thông qua lỗ hổng prompt injection từ nội dung pull request không được kiểm soát, từ đó xây dựng chiến lược phòng thủ cho dự án của mình trước khi lỗ hổng được Microsoft khắc phục.

Upcoming Change: NTLM Removal in Git (libcurl) – Impact to Azure DevOps Server Customers

In September 2026, NTLM support will be removed from libcurl, which Git uses for HTTPS operations. This directly impacts Azure DevOps Server (on-premises) customers who rely on NTLM authentication — including those who may unknowingly depend on it via SPNEGO/Negotiate silent fallback. The post explains how to detect whether your Git connections are using NTLM or Kerberos (via klist, GIT_TRACE_CURL, or a PowerShell token inspection snippet), and outlines migration steps: properly configuring Kerberos end-to-end with correct SPNs, IIS settings, and domain controller connectivity. For environments where Kerberos is not feasible (workgroup machines, non-domain-joined clients), SSH is recommended as an alternative. Downgrading Git or re-enabling NTLM after removal are explicitly discouraged.

Microsoft Brings AI-Powered Vulnerability Remediation to Azure DevOps with Copilot Autofix

Microsoft has launched a limited public preview of Copilot Autofix for GitHub Advanced Security for Azure DevOps, bringing AI-powered vulnerability remediation to teams using Azure Repos. The feature integrates CodeQL's static analysis with GitHub Copilot's code generation to automatically propose fixes for detected security vulnerabilities via pull requests. Developers retain full oversight through existing review and approval workflows. The release narrows the feature gap between GitHub and Azure DevOps, and reflects a broader industry trend of pairing SAST tools with generative AI to accelerate the 'last mile' of vulnerability remediation. Microsoft and competitors like GitLab, Snyk, Sonar, and Checkmarx are all moving in this direction, though research indicates AI-generated fixes still require careful human validation.

Why my Azure DevOps scheduled pipeline never ran

Việc sử dụng trigger: none trong Azure DevOps YAML pipeline không chỉ vô hiệu hóa trigger CI mà còn ngăn chặn cả các lần chạy theo lịch. Để khắc phục, hãy xóa dòng trigger: none hoặc giới hạn trigger CI vào một nhánh không tồn tại. Ngoài ra, lịch do UI định nghĩa có thể ghi đè lịch YAML, cần lưu ý phạm vi nhánh, cờ always: true và kiểm tra lịch chạy sắp tới qua Scheduled Runs.

Lập trình viên nên đọc bài này để tránh lỗi không mong đợi khi pipeline Azure DevOps bị ngắt do trigger: none vô tình ngăn chặn cả các chạy định kỳ, khiến việc tự động hóa công việc bị gián đoạn bất ngờ.