Lỗ hổng tràn bộ nhớ heap (CVE-2026-8461, tên "PixelSmash") trong bộ giải mã MagicYUV của FFmpeg có thể khiến máy chủ media sập hoặc cho phép thực thi mã từ xa (RCE). Các nhà nghiên cứu JFrog đã chứng minh RCE hoàn toàn trên Jellyfin và Nextcloud bằng cách tải lên file AVI 50 KB được tạo tác. FFmpeg được nhúng trong hàng trăm dự án như Kodi, OBS Studio, AWS MediaConvert, nhưng lỗ hổng đã được vá trong phiên bản 8.1.2.
Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng có thể khiến ứng dụng sử dụng FFmpeg bị crash hoặc bị khai thác thành Remote Code Execution (RCE), đe dọa hệ thống media server và các dự án tích hợp FFmpeg trong sản phẩm của mình.
Đạo luật Cyber Resilience Act (CRA) sẽ có hiệu lực từ năm 2027, nhưng các tác giả thư viện .NET cần chuẩn bị sớm hơn cho chuỗi cung ứng NuGet. Các nghĩa vụ theo CRA sẽ được áp dụng để đánh giá mọi tác giả thư viện .NET.
Những nhà phát triển .NET phải hiểu ngay bây giờ về Cyber Resilience Act (CRA) để tránh rủi ro về tuân thủ và bảo mật trong các bản cập nhật NuGet sớm nhất, đặc biệt khi quy định bắt buộc bắt đầu từ năm 2027.
Nhà sản xuất ô tô vô tình liệt kê một botnet Android trong danh sách phụ thuộc open source của mình bằng cách quét thay vì khai báo, cho thấy sự khác biệt giữa danh sách khai báo (declared) đáng tin cậy hơn so với danh sách quét (scanned). Bài viết cũng giải thích cách PHPUnit PHAR tự tiết lộ nội dung của nó.
Lập trình viên nên đọc bài này để hiểu cách một dependency list khai báo (declared) có thể bảo vệ dự án khỏi các mối đe dọa từ các tệp tin độc hại được phát hiện thông qua scanning, như trong trường hợp của một botnet Android được phát hiện trong một dự án công khai.
Theo báo cáo của Omdia năm 2026, 77% tổ chức từng gặp sự cố trong chuỗi cung ứng phần mềm trong năm qua, nhấn mạnh rủi ro và lỗ hổng bảo mật, đồng thời đề cao vai trò của nhà phát triển như tuyến phòng thủ đầu tiên.
Lập trình viên nên đọc bài này vì họ là những người trực tiếp xây dựng và kiểm soát các thành phần quan trọng trong chuỗi cung ứng phần mềm, từ đó giúp họ phát hiện và ngăn chặn các rủi ro an ninh từ các thư viện, công cụ hoặc dịch vụ bên ngoài.
AI-BOM (AI Bill of Materials) là danh sách chi tiết các thành phần, dữ liệu, mô hình và phụ thuộc trong hệ thống AI, tương tự như SBOM nhưng tập trung vào AI. Nó bao gồm thông tin về dữ liệu huấn luyện, thuật toán, thư viện, API và siêu tham số, giúp quản lý rủi ro bảo mật, tuân thủ quy định và truy xuất nguồn gốc trong phát triển AI.
Một lập trình viên nên đọc bài này để hiểu cách xây dựng và quản lý AI-BOM—chìa khóa giúp phát hiện rủi ro an ninh, kiểm soát phụ thuộc AI trong dự án và đảm bảo sự minh bạch về các mô hình học máy được sử dụng, từ đó giảm thiểu nguy cơ độc hại từ các thành phần AI không được kiểm soát.
Hướng dẫn SBOM năm 2026 của CISA bổ sung yêu cầu về hash fields và mở rộng phạm vi bao gồm AI/SaaS, nhưng các chuyên gia cho rằng thách thức lớn nhất vẫn là xác minh chứ không phải tài liệu.
Lập trình viên nên đọc bài này để hiểu cách CISA yêu cầu thêm các trường hash vào SBOM và ảnh hưởng đến quản lý an ninh phần mềm, đặc biệt khi phát triển ứng dụng sử dụng AI/SaaS, giúp họ chuẩn bị sớm về tiêu chuẩn mới và giảm rủi ro liên quan đến tính minh bạch và bảo mật.
The Open Source Question Coming Due in SeptemberEU CRA disclosure obligations start in about two months. Most finance and security leaders have not rehearsed the answer.In roughly two months, the EU Cyber Resilience Act's first disclosure obligations take effect. Any organization with a product in scope will need to report actively exploited vulnerabilities within 24 hours, for products already on the market, not just new ones. Most finance and security leaders have not rehearsed what that report would actually say if they had to produce it today.That is not a compliance detail. It is a rehearsal problem, and rehearsal problems are the ones that get discovered at the worst possible moment, in front of the worst possible audience.Here is the exercise I would run before September, not after. Pick one dependency in your environment, any one, and try to answer three questions in writing: who decided this was acceptable to run, what would you show a regulator who asked you to document that decision, and what would it cost you if the answer turned out to be nobody and nothing.Most executives who attempt this exercise get as far as "we have a scanner" and stop, because that is the only artifact anyone thought to produce. A scanner report is not a decision record. It documents what a particular tool found on a given day. It does not document who evaluated the risk of running that dependency in the first place, what alternative was considered and rejected, or why the answer was yes. A regulator asking for a defensible decision is not going to accept a tool's output as a substitute for a decision nobody made.Socket recently tied a campaign called PolinRider, linked to North Korean state actors, to 162 malicious release artifacts across 108 packages and repositories spanning five different software ecosystems. I want to be precise about what that number represents. It is not one bad actor exploiting one bad dependency. It is a patient, well-resourced campaign working the intake layer of the software supply chain across five ecosystems at once. If a vendor showed up in 108 different places in your environment without anyone in procurement noticing, that would be a control failure worth a board briefing on its own. Open source gets a pass on that scrutiny for one reason: it never came with an invoice, so nobody in the organization was ever assigned to watch for it the way they would watch a vendor.The AI acceleration piece is not theoretical. Researchers are describing an open weight model, GLM-5.2, as capable of advanced coding and cybersecurity work at a level close to models kept under much tighter control, and it can be downloaded and run locally, with no vendor standing between the model and whoever is using it. That means the volume of AI generated dependencies entering your environment, and the sophistication available to whoever wants to find a way in, are both accelerating at the same time, on a timeline that has nothing to do with your audit calendar.It is worth noting what preparedness actually looks like right now, because it is not hypothetical. IBM and Red Hat recently expanded a service called Project Lightwell specifically to give regulated industries, starting with financial institutions, a way to share vulnerability data and coordinate patching confidentially, with SBOMs and compliance data attached to every package by default. That is not a product pitch. It is a signal of where the bar is moving. The organizations building toward that bar will have an answer ready in September. Most will not, and the gap between those two groups is not a technology gap. It is a documentation gap that started accumulating long before anyone thought to check.In the current regulatory environment, a security failure is no longer only a company problem. The SEC's cybersecurity disclosure rules and the EU CRA both point the same direction: at some point soon, someone is going to ask an executive to produce the record of a decision, and "we had a scanner" is not going to be the record anyone is looking for. A scanner tells you what it found. It does not tell you who decided the underlying policy was acceptable, or when, or why.This is not, in the end, a security team's homework assignment. The decision about what a company allows into its own software is a business decision with the same weight as any vendor contract the finance team already reviews, and it should be owned with the same rigor. Handing the entire question to security and expecting a scanner to stand in for governance is how organizations end up with a technical answer to a question a regulator is going to ask in business terms.Most organizations can answer what their scanner found last quarter. Almost none can answer who decided, in writing, what their AI tools and their open source dependencies are allowed to bring into production, and whether that decision would survive being read aloud in front of a regulator. September is not far away. The organizations that treat the next ten weeks as a documentation exercise will have an answer. The ones that treat it as a technology problem will still be looking for a scanner report that was never going to be the right document in the first place.
Pipe VPL được thiết kế sẵn để đáp ứng các yêu cầu bắt buộc của Đạo luật Khả năng phục hồi mạng (CRA) của EU, vốn có hiệu lực từ ngày 10/12/2024.
Bài viết giải thích cách Pipe VPL tự động đáp ứng các yêu cầu của CRA EU thông qua thiết kế, giúp các lập trình viên phát triển ứng dụng an toàn hơn mà không cần phải thay đổi mã nguồn hiện có.
Bài viết hướng dẫn sử dụng kpack và Cloud Native Buildpacks để tự động hóa quy trình xây dựng image container an toàn, giúp ngăn chặn các cuộc tấn công vào chuỗi cung ứng Kubernetes.
Lập trình viên cần đọc bài này để hiểu cách tự động hóa xây dựng ảnh container an toàn bằng công nghệ Kpack và Buildpacks, giúp giảm rủi ro từ các cuộc tấn công AI trong chuỗi cung ứng Kubernetes.
Một lệnh, sáu kho lưu trữ, ba tổ chức tiêu chuẩn, một cơ sở dữ liệu cảnh báo và một trình so sánh phiên bản viết bằng ngôn ngữ không phù hợp.
Lập trình viên nên đọc bài này để hiểu cách xây dựng và quản lý các công cụ nhỏ nhưng quan trọng trong việc phát hiện và khai thác lỗ hổng an ninh, từ đó tối ưu hóa hiệu quả công việc và tránh rủi ro từ các lỗi kỹ thuật trong phần mềm.
Bài phỏng vấn trong chuyên mục "From the Captain’s Chair" lần này giới thiệu Mohammad-Ali A'râbi, tác giả, diễn giả và kỹ sư phần mềm.
Một lập trình viên nên đọc bài này để khám phá cách ứng dụng tư duy hệ thống và triết lý công nghệ từ góc nhìn của một nhà thiết kế phần mềm và nhà văn có kinh nghiệm thực tế.
Insignary giới thiệu giải pháp SBOM (Software Bill of Materials) theo yêu cầu nhằm tăng cường bảo mật chuỗi cung ứng phần mềm, giúp doanh nghiệp xác minh thành phần nhị phân trong phần mềm triển khai.
Lập trình viên nên đọc bài này để hiểu cách Insignary giải quyết vấn đề thiếu SBOM (Software Bill of Materials) tự động hóa, giúp phát hiện sớm các mối nguy hiểm trong chuỗi cung ứng phần mềm mà nhiều dự án vẫn bỏ qua.
IBM and Red Hat have launched the Lightwell Network, a generally available catalog of over 6,500 application-layer dependencies powering an automated vulnerability remediation service. The platform delivers digitally signed binaries, source code, and SBOMs to subscribers, while the Lightwell Clearinghouse Premier service enables teams to access validated patches and coordinate fixes. Backed by a $5 billion commitment and 20,000+ engineers, the initiative targets decades of technical debt now being rapidly exposed by AI-driven exploit discovery. Key technology partners include AWS, Microsoft, GitLab, NVIDIA, and major IT services firms. The broader concern is that AI models are shrinking the window between vulnerability discovery and exploitation from months to hours, threatening open source sustainability if maintainers cannot keep pace.
Một bài kiểm tra nhanh năm phút (sniff test) có thể xác định liệu SBOM (Software Bill of Materials) của container image đã được bảo vệ đầy đủ hay chưa, theo hướng dẫn SBOM 2025 của CISA. Các dấu hiệu cảnh báo bao gồm thiếu gói OS-layer, không có mục npm trong image Node.js, sử dụng thẻ 'latest' thay vì digest cố định, hoặc SBOM chỉ liệt kê một gói duy nhất cho phần mềm doanh nghiệp phức tạp.
Lập trình viên nên đọc bài này để tránh rủi ro an ninh khi phát triển ứng dụng, vì một SBOM không đầy đủ có thể khiến hệ thống bị tấn công trong thời gian dài mà không phát hiện được.
IBM and Red Hat have commercially launched Lightwell, a platform for automated open source vulnerability remediation at scale. It offers two tiers: Lightwell Network (generally available), providing access to 6,500+ remediated, digitally signed dependencies across Java and Python ecosystems with SBOMs; and Lightwell Clearinghouse Premier (limited availability), a trusted intermediary for coordinated patch embargoes targeting regulated industries like financial services. Powered by a generative AI remediation engine combining frontier models with human engineering, Lightwell backports fixes to specific production versions to avoid breaking changes. The initiative is backed by a $5B commitment and 20,000+ engineers, with technology partners including AWS, GitLab, Microsoft, and NVIDIA, and consulting partners such as Accenture and Deloitte.
Dependency Analytics 1.0 là tiện ích mở rộng miễn phí cho VS Code của Red Hat, quét các dependencies trong dự án theo thời gian thực để phát hiện lỗ hổng CVE đã biết khi nhà phát triển viết code. Công cụ này hỗ trợ JavaScript, Python, Java, Go, Rust, Docker, bao gồm cả dependencies gián tiếp, cảnh báo bất đồng giấy phép và tạo CycloneDX SBOMs, tích hợp thụ động vào quy trình làm việc trong trình soạn thảo.
Là một lập trình viên thường xuyên phát triển ứng dụng với nhiều thư viện bên ngoài, bạn nên đọc bài này để khám phá cách Dependency Analytics 1.0 giúp bảo vệ dự án khỏi lỗ hổng an ninh từ các gói phụ thuộc cũ hoặc không được cập nhật, ngay cả khi sử dụng các công cụ AI hỗ trợ viết code.
Insignary được Gartner ghi nhận trong Hype Cycle 2026 về Kỹ thuật phần mềm an toàn với vai trò nhà cung cấp mẫu cho Reachability Analysis. Nền tảng Clarity của họ khắc phục lỗ hổng trong độ chính xác SBOM bằng cách quét nhị phân, phát hiện cả các thành phần không khai báo trong thư viện biên dịch, mã AI hay thư viện bên thứ ba, đồng thời hỗ trợ AIBOM, phân tích reachability ưu tiên CVE nguy hiểm và cảnh báo lỗ hổng liên tục.
Lập trình viên nên đọc bài này để hiểu cách giải quyết chính xác các lỗ hổng trong mã compiled, AI và phụ thuộc bên thứ ba không được ghi nhận, giúp giảm rủi ro tuân thủ quy định và bảo mật hiệu quả.
Insignary has been recognized as a Sample Vendor for Reachability Analysis in the Gartner Hype Cycle for Secure Software Engineering 2026. The company addresses a critical gap in SBOM accuracy: most software composition analysis tools read declared dependencies rather than what actually runs in production. AI coding assistants are accelerating the problem by introducing unmanaged open-source dependencies that bypass package managers. Insignary Clarity performs binary-level scanning to build complete SBOMs without requiring source code or manifests, and includes reachability analysis to prioritize only exploitable CVEs. The platform also generates AI Bills of Materials (AIBOMs) for AI-generated code. It supports compliance with U.S. Executive Order 14028, FDA Section 524B, Canada's CCSPA, and the EU Cyber Resilience Act. The company counts government agencies and enterprises in electronics, defense, automotive, and medical sectors among its customers.
Insignary được công nhận trong Gartner Hype Cycle 2026 cho Kỹ thuật phần mềm an toàn với vai trò nhà cung cấp mẫu cho Reachability Analysis. Nền tảng Clarity của họ khắc phục lỗ hổng trong độ chính xác SBOM bằng cách quét mức binary, phát hiện các thành phần bị bỏ sót trong thư viện biên dịch, mã do AI sinh ra hay thư viện bên thứ ba không qua package manager, đồng thời hỗ trợ tuân thủ các quy định như EO 14028, FDA 524B, CCSPA và Cyber Resilience Act.
Những lập trình viên phát triển phần mềm cần đọc bài này để hiểu cách giải quyết chính xác các lỗ hổng trong mã nguồn đã biên dịch, AI và phụ thuộc bên ngoài, từ đó giảm thiểu rủi ro tuân thủ quy định và bảo mật hiệu quả.
Insignary has announced recognition in the Gartner Hype Cycle for Secure Software Engineering 2026 as a Sample Vendor for Reachability Analysis. The company's Clarity platform addresses a core SBOM accuracy problem: most software composition analysis tools only read declared dependencies, missing components in compiled binaries, AI-generated code, and third-party libraries that bypass package managers. Clarity performs binary-level scanning to produce complete SBOMs, generate AI Bills of Materials (AIBOM), run reachability analysis to prioritize exploitable CVEs, and deliver continuous vulnerability alerting without rescanning. The platform supports compliance with U.S. Executive Order 14028, FDA Section 524B, Canada's CCSPA, and the EU Cyber Resilience Act. Insignary serves government agencies and enterprises across defense, automotive, medical, and financial sectors globally.
The EU Cyber Resilience Act (CRA) is widely cited as a win for open source security, but it is fundamentally a product-safety law modeled on CE-marking — it governs manufacturers and consumers, not projects, packages, or maintainers. Non-commercial open source is exempted from scope, but exemption is not the same as benefit. The CRA creates no maintenance fund, no inspection body, and no requirement for manufacturers to contribute upstream. Its due-diligence clause for open source dependencies actually incentivizes risk reduction (vendoring, replacing, or scanning) rather than upstream investment. The steward category adds obligations to foundations without creating anything manufacturers are required to purchase. SBOMs under the CRA are private liability artifacts held in technical files, not public transparency instruments. The real cost is that 'we passed the CRA' now occupies the policy slot where an actual open source maintenance regime would go, while the open source community continues to read itself into a law whose subject is manufacturers and consumers.
An exploration of how different programming ecosystems handle the boundary between compiler/runtime and standard library, and how that boundary affects vulnerability advisories and SBOMs. Covers three models: bundled (Python, Rust, Go), packaged (Haskell base, Kotlin stdlib), and dual-life (Perl, Ruby). Examines real CVEs where the same vulnerability requires patching both a runtime version and a registry package, and identifies a gap in advisory formats and tooling: no common schema captures which version of a module shipped with a given runtime release, which side is canonical, and which copy the toolchain resolves to when both are installed. Perl's Module::CoreList and Ruby's stdgems.org partially address this, but no ecosystem covers all five needed fields.
Tuần này cập nhật các bản phát hành quan trọng trong quản lý package: Spack 1.2.0 bổ sung trình cài đặt song song và sinh SBOM, pnpm 11.9 cải thiện xác thực toàn vẹn, uv 0.11.24, RubyGems/Bundler 4.0.15, Dependabot Core 0.383.0, Deno 2.9.0 hỗ trợ biên dịch binary desktop, Docker Engine 29.6.0/29.6.1. Phần bảo mật đề cập lỗ hổng CVE-2026-57231 của Podman, lỗ hổng Docker Engine, và công cụ zizmor 1.26 kiểm toán GitHub Actions.
Nếu bạn đang phát triển ứng dụng đa nền tảng hoặc quản lý các dự án lớn, hiểu những tiến bộ mới nhất trong quản lý gói (package management) sẽ giúp bạn tối ưu hóa hiệu suất, bảo mật và tương thích cho các hệ sinh thái khác nhau.
86% of organizations struggle with SBOM generation, often due to tool sprawl and inconsistent pipelines. Build-time generation is superior to post-build scanning because it captures the resolved dependency graph including transitive dependencies, while post-build scanners rely on heuristics and miss statically linked binaries. Five criteria determine SBOM quality: completeness, accuracy (resolved versions not declared ranges), freshness, verifiability via cryptographic attestation, and format compliance (SPDX or CycloneDX). The generation toolchain itself is attack surface — tools should be pinned to immutable references like commit SHAs. For CI/CD integration, SBOMs should be generated at build time, attached as OCI attestations bound to the image digest, validated before publishing, and paired with continuous scanning for new CVEs. Docker Hardened Images ship with pre-built SBOMs, SLSA Build Level 3 provenance, and OpenVEX data, eliminating the generation burden for base layers.
The 2026 CRA Awareness and Readiness Report reveals that EU Cyber Resilience Act preparedness has not improved year-over-year — it has worsened. Unfamiliarity with the regulation rose from 62% to 66%, with North American respondents particularly unaware at 72%. Among those who know about the CRA, comprehension of key concepts like manufacturer vs. steward distinctions and compliance deadlines remains poor. Only 41% of manufacturers expect to achieve full compliance by the December 2027 deadline. SBOM adoption is stagnant at 32%, while reliance on upstream projects for security fixes grew from 46% to 51%. New 2026 findings include a 394% year-over-year surge in published CVEs across open source projects and a measurable correlation between organizational diversity in project contributions and security posture. The post recommends upstream contribution as the economically rational compliance path and points to OpenSSF resources including the CRA Portal, stewards playbook, and a free Linux Foundation course.
The EU Cyber Resilience Act (CRA), in force since December 2024, establishes the first horizontal cybersecurity baseline for all hardware and software products sold in Europe. Key obligations include mandatory machine-readable SBOMs in technical documentation, vulnerability and incident reporting to CSIRTs and ENISA (24-hour early warning, 72-hour full notification), and security-by-design requirements. Vulnerability reporting obligations kick in September 11, 2026 — retroactively covering products already on the EU market — while full enforcement including SBOM mandates and CE marking takes effect December 11, 2027. Container images distributed commercially into the EU qualify as products with digital elements, making manufacturers responsible for image hardening, SBOM generation, provenance attestations, and defined support periods. Non-compliance can result in fines up to €15 million or 2.5% of global annual turnover. Open-source software used outside commercial activity is exempt, but organizations distributing OSS commercially are classified as manufacturers. Docker Hardened Images and Docker Scout are presented as tools to help meet these requirements.
Các công cụ phát hiện lỗ hổng bằng AI đang phát triển nhanh hơn khả năng khắc phục của con người, gây tắc nghẽn trong quy trình DevSecOps do các image container công cộng quá nặng nề, chứa hàng trăm CVE ngay từ đầu. Bài viết đề xuất giải pháp sử dụng kiến trúc distroless, tái xây dựng liên tục upstream, SBOM ký mã hóa và tích hợp image bảo mật sẵn vào workflow của developer để biến bảo mật thành tiêu chuẩn mặc định thay vì tính năng cao cấp.
Lập trình viên nên đọc bài này để hiểu cách tối ưu hóa công cụ phát hiện lỗ hổng AI và giảm thiểu rủi ro an ninh trong chuỗi cung ứng phần mềm bằng cách áp dụng kiến trúc container nhẹ, tự động hóa và công nghệ mở.
EU Cyber Resilience Act (CRA) chính thức hóa các nghĩa vụ quản trị phần mềm nguồn mở mà các tổ chức tốt đã thực hiện, nhưng chỉ khiến trách nhiệm trở nên minh bạch hơn. Đến hạn thi hành vào tháng 12/2027, CRA yêu cầu quy trình phê duyệt nguồn mở có tài liệu, SBOM liên tục, chuỗi nguồn gốc kiểm toán được và báo cáo lỗ hổng từ tháng 9/2026, trong khi phần lớn doanh nghiệp vẫn chưa sẵn sàng.
Lập trình viên nên đọc bài này để hiểu cách CRA EU không chỉ là một quy định mới mà là cơ hội để cải thiện quản lý mã nguồn mở hiện tại, từ việc giảm chi phí fork riêng sang việc hợp tác hiệu quả và đảm bảo tuân thủ một cách bền vững.
SCORED (Workshop on Software Supply Chain Offensive and Defensive Research) is a security workshop co-located with OpenSSF Community Day Europe 2026 in Prague, designed to bridge the gap between academic security research and open source practitioners. The workshop introduces a Security-in-Practice (SIP) Track featuring 20-minute talks from industry maintainers alongside traditional research papers. Key focus areas for 2026 include AI supply chain security, reproducible builds, and dataset benchmarking (SBOMs). The submission deadline is July 12, 2026, with the conference taking place on October 6, 2026.
A comprehensive guide to Software Bills of Materials (SBOMs) covering what they contain, why they matter for supply chain security, and how to integrate them into container workflows. SBOMs are machine-readable inventories of every component in a software artifact, including transitive dependencies, licenses, and checksums. The guide explains the two dominant formats (SPDX and CycloneDX), how to generate SBOMs at build time using Docker BuildKit, how to pair them with provenance attestations and cryptographic signatures, and how to use them for continuous vulnerability monitoring and policy enforcement. It also addresses regulatory requirements (EO 14028, CISA, EU CRA), common misconceptions, and an SBOM maturity model to help teams assess their current posture.
The EU Cyber Resilience Act's Article 14 takes effect September 11, 2026, requiring manufacturers of connected devices to notify EU regulators of actively exploited vulnerabilities within 24 hours, with a detailed follow-up within 72 hours and a final report within 14 days. This applies retroactively to all supported products in the EU market, regardless of when they were deployed. Most manufacturers are unprepared. Key steps include building SBOM-based supply chain visibility, establishing a formal vulnerability disclosure process with a named decision-maker, testing emergency patch workflows, and maintaining up-to-date customer contact data by market. Non-compliance carries penalties up to €15 million or 2.5% of global annual turnover. The author, from Finite State (which offers a managed CRA compliance service), argues that teams starting now can still meet the September deadline and gain a competitive advantage as similar regulations converge globally.
