Forever Security ghi nhận một coding agent suýt cài gói npm độc chỉ vì đọc file AGENTS.md lạ nằm trong ~/Downloads, nơi trang web nào cũng ghi file vào được. Đừng chạy agent ở Downloads, và xem lại file cấu hình của Codex và Claude Code.
CVE-2026-111497 (CVSS 9,2) nằm trong bộ giải nén Brotli bằng C mà Node.js, Bun, gói Brotli của Python và nhiều phần mềm khác cùng dùng. Imperva đã chạy được mã trên Node.js 24.22.0 bản chính thức. Nâng Node.js, nâng gói Brotli và brotlicffi trong Python, rồi build lại image.
Kẻ xâm nhập Railway đã giải mã được một phần biến môi trường của khách, nhưng Railway không xác định được là biến nào. Ai deploy trên Railway trước ngày 21/10 nên coi mọi key là đã lộ và đổi hết.
Một server dev chiếm 9,8 GB sau 2.000 request, bản chạy thật chỉ 150 MB. Gốc là mẫu lỗi chung của mọi loại server: dữ liệu dùng chung bị đọc lại ở mỗi request. Số đo từ một dự án Next.js, cách sửa và cách rà app của bạn, dùng framework nào cũng áp dụng được.
Bảng phân quyền ghi session.manage chỉ dành cho quản trị hệ thống, còn route thu hồi phiên đăng nhập lại kiểm một quyền khác. Test quét route vẫn xanh. Cách phát hiện quyền khai báo mà không ai dùng, và một test ngược chiều để bắt nó.
VPS mới bị dò SSH trong vòng vài phút sau khi lên mạng. Danh sách việc làm ngay trên Ubuntu: cập nhật tự động, SSH chỉ bằng khóa, tắt đăng nhập root, ufw, cái bẫy Docker đi vòng qua ufw, và đồng hồ đúng giờ.
Xóa file .env, xóa commit hay viết lại lịch sử đều không thu hồi được key đã lộ. Việc đầu tiên là đổi khóa, sau đó mới dọn lịch sử, quét bằng gitleaks và chặn trong CI để không lặp lại.
Form quên mật khẩu, đăng nhập, gửi OTP không giới hạn số lần gọi thì ai cũng dùng được để spam người khác và đốt tiền email, SMS của bạn. Cách đặt rate limit theo IP, theo tài khoản, trả 429 kèm Retry-After, có code Next.js và Express.
Chatbot hay tính năng AI trong app mà không có trần chi phí thì chỉ cần một script gửi tin liên tục cả đêm. Cách đặt trần theo người dùng, theo ngày ngay trong code, và bật giới hạn cứng trên trang của OpenAI, Anthropic, Google.
Hai lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 (CVSS 9,2) đang bị dò quét và khai thác trên diện rộng, có lần thử từ 17/10, trước khi bản vá ra. Không cài đặt php.ini nào chặn được hết. Kiểm tra bản PHP mà web đang chạy, vá, khởi động lại và xem log có dấu bị tấn công không.
