#cicd

Mastering Secure CI/CD for ECS with GitHub Actions

Bài viết hướng dẫn xây dựng quy trình CI/CD an toàn cho ECS trên Fargate bằng GitHub Actions, cải tiến vận hành như hợp nhất workflow, dùng commit hash làm tag ảnh container, quản lý định nghĩa task và service với ecspresso. Ngoài ra, bài cũng đề cập đến biện pháp bảo mật như AssumeRole không dùng key với OpenID Connect, quét lỗ hổng bằng Trivy và Dockle, cùng multi-stage build để giảm bề mặt tấn công.

Lập trình viên cần đọc bài này để tìm hiểu cách xây dựng và tối ưu hóa một chu trình CI/CD an toàn trên AWS ECS Fargate bằng GitHub Actions, từ việc quản lý mã nguồn đến bảo mật container và giảm diện tích tấn công.

Red Hat Enterprise Linux runner images are now in public preview

GitHub-hosted larger runners now support Red Hat Enterprise Linux (RHEL) 9 and RHEL 10 images in public preview, available for Linux x64. Developed in partnership with Red Hat, these images can serve as a foundation for custom runner images with specific tools, dependencies, and configurations. Organizations can enable them by creating a new larger runner and selecting the desired RHEL image under Linux x64 partner images.

The Roadmap

Gary tiếp quản một ứng dụng bị lỗi nghiêm trọng với hơn 500 controller copy-paste, không có CI/CD hay quy trình triển khai, đồng thời gây lãng phí lớn trên cloud. Anh tối ưu hóa, giảm 60% chi phí cloud, tự động hóa triển khai và loại bỏ downtime. Tuy nhiên, khi tham dự cuộc họp quản lý, thay vì khen ngợi, anh bị chỉ trích vì không tuân theo roadmap lỗi thời năm 2020 và bỏ qua các lỗi chưa được theo dõi. Gary quyết định cập nhật CV.

Lập trình viên nên đọc bài này để hiểu cách chuyển đổi từ việc cải thiện ứng dụng hiện tại thành một chiến lược bền vững, từ bỏ những thói quen cũ và xây dựng sự nghiệp bằng sự quyết đoán thay vì tuân theo quy định không hiệu quả.

The Bullseye Model of product velocity

The Bullseye Model reframes software delivery success beyond raw deployment speed. Using an archery metaphor, it argues that teams need both throughput and directional accuracy — consistently moving toward an ideal product-market fit. Speed matters only insofar as it enables faster feedback loops and course correction; excess velocity without feedback is wasteful or harmful. The model also addresses AI-assisted development, warning that increased throughput requires mature deployment pipelines and governance, or gains will be lost to bottlenecks. The real metric is how quickly a team closes the gap between their current product and the ideal one.

simonecorsi/mawesome GitHub Action has been compromised

Vào ngày 24/6/2026, repository simonecorsi/mawesome trên GitHub bị tấn công thông qua phương pháp force-push, khiến các version tags trỏ tới các commit độc hại. Các workflow sử dụng những tags này sẽ thực thi mã do kẻ tấn công kiểm soát trên GitHub Actions runners, tương tự vụ tấn công vào codfish/semantic-release-action cùng ngày.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ các GitHub Actions của mình khỏi các tấn công force-push và code injection, đặc biệt khi sử dụng các repository công cộng có thể bị lừa đảo.

Compromised GitHub action codfish/semantic-release-action steals CI/CD secrets

The codfish/semantic-release-action GitHub Action was compromised on June 24, 2026 via a force-pushed imposter commit attack. An attacker repointed major version tags (v2–v5) to malicious commits containing a composite action that runs the legitimate action first, then silently installs Bun and executes a 781KB obfuscated JavaScript payload. The payload is linked to the Miasma credential-stealing toolkit, which uses GitHub's public commit search API as a dead-drop C2 channel to deliver remote code execution without traditional outbound infrastructure. Affected workflows likely expose GITHUB_TOKEN and NPM_TOKEN secrets. Indicators of compromise, malicious commit hashes, and confirmed clean versions are provided.

Run Cypress at Scale in Harness CI with Smart Orchestration

Running large Cypress end-to-end test suites sequentially leads to slow feedback loops. Combining Cypress Smart Orchestration (parallelization, load balancing, auto cancellation, spec prioritization) with Harness CI's stage-level looping strategy, cache intelligence, and prebuilt Cypress images can dramatically cut CI run times. The guide walks through setting up a shared CI build ID using Harness pipeline expressions, the exact cypress run command with --record, --parallel, and --ci-build-id flags, and a complete annotated Harness YAML stage configuration that spins up five parallel machines, each restoring npm cache and running on the cypress/included Docker image.

Trace packages back to their source pipeline

Bitbucket Pipelines now links published package artifacts to their source pipeline run. When a package is published via the native Pipelines integration, a 'Source Pipeline' reference appears in the artifact details view, letting teams quickly trace any artifact back to the exact build that created it. This eliminates the need to manually cross-reference timestamps, commits, and pipeline history, and enables faster debugging by jumping directly from an artifact to its associated build logs.

Introducing Package triggers in Bitbucket Pipelines

Bitbucket Pipelines bổ sung trigger package-artifact-created tự động chạy pipeline tùy chỉnh khi artifact package được publish, hỗ trợ tự động hóa workflows hậu xuất bản như validation, quét bảo mật, promotion, tạo ghi chú phát hành và thông báo. Trigger cho phép điều kiện dựa trên biến package (type, name, artifact name) và glob matching, giới hạn 20 điều kiện/trạng thái trigger và 100 pipelines/trạng thái, đồng thời ngăn chặn vòng lặp vô hạn từ artifact tự sinh.

Lập trình viên nên đọc bài này để khám phá cách tự động hóa các công việc sau khi phát hành package trong CI/CD bằng Bitbucket Pipelines, giúp tiết kiệm thời gian và giảm thiểu sai sót khi phải xử lý thủ công.

A Seasoned Tester's Crystal Ball: Appropriate speed for the conditions, deliberately

A veteran tester reflects on lessons learned during an agile transformation at F-Secure in the early 2000s, drawing parallels to today's AI-driven overwhelm. The key insight: when CI/CD eliminated natural waiting periods that had fostered team learning and cross-pollination, the team had to deliberately carve out time for improvement. The same principle applies now — developers and testers have agency to choose an appropriate pace when adopting AI, rather than feeling compelled to match the fastest adopters.

Supply Chain Compromise: codfish/semantic-release-action Tags Hijacked to Steal OIDC Tokens and Propagate Backdoors

A supply chain attack compromised the codfish/semantic-release-action GitHub Action by force-pushing a malicious commit and redirecting seven version tags (v1.6.1 through v2.2.1) to point at it. Any workflow using these tags after June 24, 2026 at 15:39 UTC executed attacker-controlled code. The attack converted the action from Docker-based to a composite action, injecting two steps guarded with if: always() to ensure execution even on failure. The payload — a ~512 KB obfuscated JavaScript file run via Bun — steals GitHub OIDC tokens, harvests Personal Access Tokens, encrypts collected data with AES-128-GCM, and attempts to propagate backdoors into other accessible repositories. Bun was chosen specifically to bypass Node.js security tooling hooks. The C2 exfiltration endpoint is still being deobfuscated.

Cordyceps CI/CD Weakness Exposes Software Supply Chains to Malicious Pull Requests

Security researchers at Novee have disclosed a new CI/CD vulnerability class called 'Cordyceps' that allows attackers to exploit malicious pull requests against insecurely configured automated workflows. A scan of public repositories found 654 potentially vulnerable projects, with ~300 confirmed fully exploitable. Affected projects include Microsoft Azure Sentinel, Google's AI Agent Development Kit, Apache Doris, Cloudflare Workers SDK, and the Python Black formatter. The weakness stems not from pull requests themselves but from workflow configurations that grant excessive privileges to untrusted inputs, enabling credential theft, command injection, and malicious package publishing. Notably, AI-generated CI/CD configs may amplify the problem by replicating insecure patterns at scale. Recommended mitigations include auditing workflows for excessive permissions, applying least-privilege principles, and treating workflow YAML with the same rigor as application code.

Why my Azure DevOps scheduled pipeline never ran

Việc sử dụng trigger: none trong Azure DevOps YAML pipeline không chỉ vô hiệu hóa trigger CI mà còn ngăn chặn cả các lần chạy theo lịch. Để khắc phục, hãy xóa dòng trigger: none hoặc giới hạn trigger CI vào một nhánh không tồn tại. Ngoài ra, lịch do UI định nghĩa có thể ghi đè lịch YAML, cần lưu ý phạm vi nhánh, cờ always: true và kiểm tra lịch chạy sắp tới qua Scheduled Runs.

Lập trình viên nên đọc bài này để tránh lỗi không mong đợi khi pipeline Azure DevOps bị ngắt do trigger: none vô tình ngăn chặn cả các chạy định kỳ, khiến việc tự động hóa công việc bị gián đoạn bất ngờ.

Merging code coverage data

Phiên bản 14.0 của phpunit/php-code-coverage và 13.0 của PHPCOV đã giải quyết vấn đề lâu nay về việc hợp nhất dữ liệu coverage từ các job CI chạy song song nhờ định dạng serialization mới dùng đường dẫn tương đối, loại bỏ tiền tố namespace PHAR, và giảm tiêu thụ bộ nhớ nhờ lớp Merger hoạt động trực tiếp trên file serialized. PHPCOV 13.0 giờ có thể hợp nhất đáng tin cậy các file .cov từ nhiều môi trường khác nhau, xuất báo cáo ở nhiều định dạng như Clover, Cobertura hay HTML.

Lập trình viên cần đọc để hiểu cách cải tiến mới nhất trong việc tích hợp báo cáo độ phủ mã từ các nhiệm vụ CI chạy song song, giúp tiết kiệm thời gian và tránh lỗi khi xử lý dữ liệu phân tán trên nhiều máy khác nhau.

Cut your environment setup time in half with Chunk sidecar snapshots

Chunk sidecar snapshots let you freeze a pre-configured Linux test environment after dependency installation and cache it in CircleCI's cloud. Instead of reinstalling packages on every run, subsequent sidecar boots restore from the snapshot, cutting cold-start time from ~60 seconds to ~26 seconds. The tutorial walks through both an agent-assisted setup using Claude Code's /chunk-sidecar skill and a manual CLI flow: installing the Chunk CLI, running chunk init, creating a sidecar, running tests to validate, and snapshotting the result. Snapshots are org-scoped, shareable via a committed ID, and work for both human developers and AI agents running automated validation. When dependencies change, you re-snapshot and update the config pointer.

Deploy Node servers with zero configuration

Vercel giờ đây hỗ trợ triển khai máy chủ Node.js không cần cấu hình, tự động phát hiện file server.ts ở thư mục gốc hoặc src/server.ts và triển khai dưới dạng ứng dụng Node.js. Tính năng này hoạt động song song với các backend zero-config khác như Express, Koa và NestJS, đồng thời Vercel CLI quản lý phát triển cục bộ (vc dev) và triển khai (vc deploy) mà không cần file cấu hình.

Lập trình viên Node.js sẽ tiết kiệm thời gian và tránh rắc rối khi phát triển, test và triển khai ứng dụng backend mà không cần thiết lập cấu hình thủ công.

How Enterprise Teams Manage Infrastructure at Scale with Terraform

Large-scale Terraform usage introduces challenges that solo tutorials never cover. This deep-dive explains how enterprise teams handle state corruption (concurrent applies, interrupted pipelines, wrong-environment commands, dual ownership), why state files are treated like production databases containing plaintext secrets, and how repositories and state files are structured around team ownership boundaries. It covers module versioning with semantic versioning to prevent company-wide pipeline breakages, sharing infrastructure data between state files via remote state vs. cloud data sources, the full PR-to-production pipeline workflow including CODEOWNERS enforcement, scheduled drift detection, and a step-by-step state recovery playbook including backups, S3 versioning restores, force-unlock, and re-import.

'Cordyceps': Malicious Pull Requests Threaten CI

A newly disclosed CI/CD weakness called 'Cordyceps' allows attackers to exploit malicious pull requests to compromise automated workflows in open source repositories. Researcher Elad Meged of Novee found 654 potentially exploitable repositories, with 300 confirmed fully exploitable, enabling attacker-controlled code execution, credential theft, and supply chain compromise. Affected organizations include Microsoft (Azure Sentinel), Google (AI Agent Development Kit), Apache (Doris), Cloudflare (Workers SDK), and Python Software Foundation (Black). The root cause is overly permissive CI/CD configurations that grant pull requests elevated access they shouldn't have. AI coding agents are worsening the problem by rapidly reproducing insecure CI/CD patterns. Recommended mitigations include inventorying workflows that run untrusted input with elevated permissions, treating YAML workflow files as code assets, and scoping roles carefully.

Grafana Labs security update: Latest on TanStack npm supply chain ransomware incident

Grafana Labs disclosed a security incident originating from the TanStack npm supply chain attack (Mini Shai-Hulud campaign). Attackers gained unauthorized access to Grafana Labs' GitHub repositories and downloaded source code and internal operational data, then issued a ransom demand. Grafana Labs refused to pay, notified federal law enforcement, and confirmed no customer production systems or Grafana Cloud platform were compromised. Mitigation steps included rotating GitHub workflow tokens, auditing all commits since May 11, enhancing monitoring, and hardening CI/CD pipelines. An external audit by Mandiant is underway, with a post-incident report expected in June 2026.

Developer Credential Economy: Inside look at the Miasma worm

The Miasma worm, derived from the open-sourced Mini Shai-Hulud toolchain, compromised 89+ npm packages across three waves in June 2026, affecting Red Hat, Vapi.ai, and Microsoft Azure repositories. The root cause was a stolen developer credential that sat in underground markets for seven weeks before weaponization — a pattern Tenable calls the Developer Credential Economy. Key escalations include: malicious packages carrying valid SLSA Build Level 3 provenance attestations, a novel 'Phantom Gyp' technique bypassing install-script monitoring, and a new persistence mechanism targeting AI coding assistants (Claude Code, Cursor, Gemini CLI, VS Code) by dropping configuration file overrides. The public release of the full attack toolchain has permanently lowered the barrier for copycat campaigns. EDR is insufficient because credential theft happens in ephemeral CI/CD environments with no agent visibility. Recommended defenses include dark web credential monitoring with automated rotation, human-gated npm publishing (staged publishing in npm CLI 11.15.0), OIDC token scope restrictions, and treating developer environments as control-plane infrastructure under a CTEM framework.