15 Malicious JetBrains Plugins Stole AI API Keys from 70,000 Developers

Malicious npm packages evade install-script defenses at runtime

Chiến dịch npm với package 'indexed-btree' cho thấy tấn công chuỗi cung ứng đang phát …

MemTensor npm and PyPI hit by "supplychain.local" malware

Gần đây các gói MemTensor phiên bản 0.1.21 và 0.1.23 trên npm cùng MemoryOS 2.0.34 trên PyPI bị phát hiện chứa mã độc "supplychain.local". Mã độc này được chèn vào quá trình build package, cho phép kẻ tấn công chiếm quyền điều khiển hệ thống nạn nhân. Hậu quả là hàng nghìn dự án sử dụng các thư viện này có nguy cơ bị nhiễm malware. Nhà phát triển cần kiểm tra lại các dependencies trong dự án và cập nhật lên phiên bản an toàn để tránh rủi ro bảo mật.

Lập trình viên nên đọc bài này để nhận thức về mối đe dọa an ninh chuỗi cung ứng trong các package npm và PyPI nhằm bảo vệ dự án của mình.

A Shai-Hulud npm payload came back 111 days later

Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất hiện, qua mặt hoàn toàn hệ thống quét malware. Chiến thuật này khai thác khoảng trống thời gian trong cơ chế giám sát của npm, cho phép mã độc tồn tại lâu dài mà không bị phát hiện. Vụ việc này gây ra rủi ro bảo mật đáng kể cho các dự án phụ thuộc vào các package bị nhiễm. Lập trình viên nên cân nhắc thêm các bước kiểm tra bổ sung như analysis bằng công cụ như npm audit hoặc Snyk để phát hiện hành vi đáng ngờ. Điều này cho thấy giới hạn của hệ thống tự động và nhu cầu cần thiết về nhận thức cộng đồng trong việc bảo vệ ecosystem.

Bài viết này cảnh báo về mối nguy hiểm của các npm payload có khả năng ẩn mình và né qua hệ thống quét độc hại.

Operation RepoGhost: Exposing a Russian-Linked Malware Campaign Hiding in GitHub’s Open-Source Ecosystem

Nghiên cứu CTI của Vedant Bhalgama và Kavin Jindal đã phát hiện một chiến dịch phần mềm độc hại có liên quan tới Nga, được giấu trong hệ sinh thái mã nguồn mở của GitHub. Chiến dịch được đặt tên Operation RepoGhost và sử dụng các kho lưu trữ giả mạo hoặc đã bị xâm nhập để phân tán payload độc hại cho nhà phát triển. Các tệp độc hại thường được nhúng trong các file cấu hình hoặc script bản dựng, khiến chúng khó bị phát hiện bởi các công cụ quét thường dùng. Theo báo cáo, chiến dịch đã ảnh hưởng tới nhiều repository và tạo ra lượng lớn trafic độc hại từ các nguồn này. Bài học chính là cần tăng cường kiểm tra nguồn gốc và tính toàn vẹn của các phụ thuộc mã nguồn mở, đồng thời áp dụng xác thực hai yếu tố và giám sát thay đổi bất thường trong các kho GitHub.

Bài tiết lộ chiến dịch phần mềm độc hại Nga ẩn nấp trong hệ sinh thái mã nguồn mở GitHub giúp lập trình viên nhận diện và phòng thủ các cuộc tấn công tương tự.

What we know about the alleged Iranian hacks on US water utilities

Trong vài tuần qua, các hacker nhắm vào và xâm nhập hệ thống của nhiều nhà máy nước tại Mỹ. Thông tin và manh mối về loạt tấn công này được cho là do chính phủ Iran thực hiện vẫn còn nhiều điều chưa rõ.

Những vụ tấn công vào hệ thống nước Mỹ do Iran cho rằng là hành động của chính phủ này có thể giúp bạn hiểu rõ hơn về mối đe dọa cyber-physis ở cấp độ thực tế, từ đó nâng cao kỹ năng phòng thủ và ứng phó cho các hệ thống công nghiệp quan trọng trong tương lai.

PhpStorm 2026.2 Released

JetBrains vừa phát hành PhpStorm 2026.2 với cửa sổ công cụ Laravel mới, thuộc tính FileReference cho PHP, hỗ trợ toán tử pipe (|) của PHP 8.5 cùng khả năng kỹ năng agent.

Lập trình viên PHP nên đọc bài này để khám phá những tính năng mới như cửa sổ Laravel tích hợp giúp streamline việc phát triển ứng dụng Laravel, tính năng FileReference giúp tối ưu hóa việc quản lý và debug code, cùng hỗ trợ pipe operator trong PHP 8.5, giúp nâng cao hiệu suất và tính năng mới trong môi trường phát triển hiện đại.

Building a RAG Pipeline for Semantic Code Search: A Developer Diary and Field Notes

Để xây dựng platform semantic code search hiệu quả, nhóm đã thiết kế RAG pipeline xử lý code qua 3 giai đoạn chính: parsing code, chunking logic và vectorization. Tác giả sử dụng AST (Abstract Syntax Tree) để phân tích cấu trúc code trước khi chia thành các chunk nhỏ hơn 200 dòng mỗi đoạn. Mỗi chunk được vector hóa bằng model embedding text-embedding-3-small của OpenAI với dimension 1536. Kết quả cho thấy pipeline này giúp hệ thống truy xuất đoạn code chính xác tới 95% khi tìm kiếm ngữ nghĩa, đáng học hỏi để cải thiện performance trong RAG application thực tế.

Bài viết hướng dẫn xây dựng pipeline RAG để tìm kiếm mã nguồn ngữ nghĩa, giúp lập trình viên nâng cao kỹ năng xử lý và truy vấn dữ liệu code.

IntelliJ IDEA 2026.2.3 Is Out!

IntelliJ IDEA vừa ra mắt phiên bản 2026.2.3, cho phép người dùng cập nhật trực tiếp từ bên trong IDE, sử dụng Toolbox App hoặc snaps nếu bạn dùng Ubuntu. Phiên bản này tiếp tục cải tiến performance và trải nghiệm người dùng như các bản cập nhật trước. Người dùng có thể tải xuống trực tiếp từ website JetBrains nếu cần. Phiên bản mới này tập trung vào sửa lỗi nhỏ và nâng cao độ ổn định cho các dự án Java, Kotlin và đa ngôn ngữ khác.

Bài này giúp lập trình viên cập nhật nhanh phiên bản IntelliJ IDEA 2026.2.3 mới nhất với các tính năng và cải tiến quan trọng.