#sbom

Hole in widely-used FFmpeg codec could crash media servers or enable RCE

Lỗ hổng tràn bộ nhớ heap (CVE-2026-8461, tên "PixelSmash") trong bộ giải mã MagicYUV của FFmpeg có thể khiến máy chủ media sập hoặc cho phép thực thi mã từ xa (RCE). Các nhà nghiên cứu JFrog đã chứng minh RCE hoàn toàn trên Jellyfin và Nextcloud bằng cách tải lên file AVI 50 KB được tạo tác. FFmpeg được nhúng trong hàng trăm dự án như Kodi, OBS Studio, AWS MediaConvert, nhưng lỗ hổng đã được vá trong phiên bản 8.1.2.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng có thể khiến ứng dụng sử dụng FFmpeg bị crash hoặc bị khai thác thành Remote Code Execution (RCE), đe dọa hệ thống media server và các dự án tích hợp FFmpeg trong sản phẩm của mình.

EU Cyber Resilience Act (CRA): Overview

The EU Cyber Resilience Act (CRA), in force since December 2024, establishes the first horizontal cybersecurity baseline for all hardware and software products sold in Europe. Key obligations include mandatory machine-readable SBOMs in technical documentation, vulnerability and incident reporting to CSIRTs and ENISA (24-hour early warning, 72-hour full notification), and security-by-design requirements. Vulnerability reporting obligations kick in September 11, 2026 — retroactively covering products already on the EU market — while full enforcement including SBOM mandates and CE marking takes effect December 11, 2027. Container images distributed commercially into the EU qualify as products with digital elements, making manufacturers responsible for image hardening, SBOM generation, provenance attestations, and defined support periods. Non-compliance can result in fines up to €15 million or 2.5% of global annual turnover. Open-source software used outside commercial activity is exempt, but organizations distributing OSS commercially are classified as manufacturers. Docker Hardened Images and Docker Scout are presented as tools to help meet these requirements.

The AI Remediation Bottleneck: Why the Software Supply Chain Demands Radical Openness

Các công cụ phát hiện lỗ hổng bằng AI đang phát triển nhanh hơn khả năng khắc phục của con người, gây tắc nghẽn trong quy trình DevSecOps do các image container công cộng quá nặng nề, chứa hàng trăm CVE ngay từ đầu. Bài viết đề xuất giải pháp sử dụng kiến trúc distroless, tái xây dựng liên tục upstream, SBOM ký mã hóa và tích hợp image bảo mật sẵn vào workflow của developer để biến bảo mật thành tiêu chuẩn mặc định thay vì tính năng cao cấp.

Lập trình viên nên đọc bài này để hiểu cách tối ưu hóa công cụ phát hiện lỗ hổng AI và giảm thiểu rủi ro an ninh trong chuỗi cung ứng phần mềm bằng cách áp dụng kiến trúc container nhẹ, tự động hóa và công nghệ mở.

The EU CRA Doesn’t Change What Good Open Source Governance Looks Like. It Just Makes the Accountability Visible.

EU Cyber Resilience Act (CRA) chính thức hóa các nghĩa vụ quản trị phần mềm nguồn mở mà các tổ chức tốt đã thực hiện, nhưng chỉ khiến trách nhiệm trở nên minh bạch hơn. Đến hạn thi hành vào tháng 12/2027, CRA yêu cầu quy trình phê duyệt nguồn mở có tài liệu, SBOM liên tục, chuỗi nguồn gốc kiểm toán được và báo cáo lỗ hổng từ tháng 9/2026, trong khi phần lớn doanh nghiệp vẫn chưa sẵn sàng.

Lập trình viên nên đọc bài này để hiểu cách CRA EU không chỉ là một quy định mới mà là cơ hội để cải thiện quản lý mã nguồn mở hiện tại, từ việc giảm chi phí fork riêng sang việc hợp tác hiệu quả và đảm bảo tuân thủ một cách bền vững.

Bridging the Gap Between Code and Research: Why SCORED ’26 Matters for Open Source Security – Open Source Security Foundation

SCORED (Workshop on Software Supply Chain Offensive and Defensive Research) is a security workshop co-located with OpenSSF Community Day Europe 2026 in Prague, designed to bridge the gap between academic security research and open source practitioners. The workshop introduces a Security-in-Practice (SIP) Track featuring 20-minute talks from industry maintainers alongside traditional research papers. Key focus areas for 2026 include AI supply chain security, reproducible builds, and dataset benchmarking (SBOMs). The submission deadline is July 12, 2026, with the conference taking place on October 6, 2026.

Software Bill of Materials (SBOM) Explained

A comprehensive guide to Software Bills of Materials (SBOMs) covering what they contain, why they matter for supply chain security, and how to integrate them into container workflows. SBOMs are machine-readable inventories of every component in a software artifact, including transitive dependencies, licenses, and checksums. The guide explains the two dominant formats (SPDX and CycloneDX), how to generate SBOMs at build time using Docker BuildKit, how to pair them with provenance attestations and cryptographic signatures, and how to use them for continuous vulnerability monitoring and policy enforcement. It also addresses regulatory requirements (EO 14028, CISA, EU CRA), common misconceptions, and an SBOM maturity model to help teams assess their current posture.

CRA’s First Connected-Products Deadline Is in Less Than 100 Days

The EU Cyber Resilience Act's Article 14 takes effect September 11, 2026, requiring manufacturers of connected devices to notify EU regulators of actively exploited vulnerabilities within 24 hours, with a detailed follow-up within 72 hours and a final report within 14 days. This applies retroactively to all supported products in the EU market, regardless of when they were deployed. Most manufacturers are unprepared. Key steps include building SBOM-based supply chain visibility, establishing a formal vulnerability disclosure process with a named decision-maker, testing emergency patch workflows, and maintaining up-to-date customer contact data by market. Non-compliance carries penalties up to €15 million or 2.5% of global annual turnover. The author, from Finite State (which offers a managed CRA compliance service), argues that teams starting now can still meet the September deadline and gain a competitive advantage as similar regulations converge globally.