Gõ có dấu hay không dấu đều được, ví dụ “ma doc”, “next.js”, “api key”.
Bài mới nhất
Một file AGENTS.md trong thư mục Downloads đủ để điều khiển Codex và Claude Code
Forever Security ghi nhận một coding agent suýt cài gói npm độc chỉ vì đọc file AGENTS.md lạ nằm trong ~/Downloads, nơi trang web nào cũng ghi file vào được. Đừng chạy agent ở Downloads, và xem lại file cấu hình của Codex và Claude Code.
Lỗ hổng Brotli của Node.js đã chạy được mã trên bản chính thức, và Python cũng dính
CVE-2026-111497 (CVSS 9,2) nằm trong bộ giải nén Brotli bằng C mà Node.js, Bun, gói Brotli của Python và nhiều phần mềm khác cùng dùng. Imperva đã chạy được mã trên Node.js 24.22.0 bản chính thức. Nâng Node.js, nâng gói Brotli và brotlicffi trong Python, rồi build lại image.
Railway bị lấy biến môi trường, và chính Railway không biết key nào của bạn đã lộ
Kẻ xâm nhập Railway đã giải mã được một phần biến môi trường của khách, nhưng Railway không xác định được là biến nào. Ai deploy trên Railway trước ngày 21/10 nên coi mọi key là đã lộ và đổi hết.
Server ngốn gần 10 GB RAM vì dữ liệu dùng chung bị lấy lại ở mỗi request
Một server dev chiếm 9,8 GB sau 2.000 request, bản chạy thật chỉ 150 MB. Gốc là mẫu lỗi chung của mọi loại server: dữ liệu dùng chung bị đọc lại ở mỗi request. Số đo từ một dự án Next.js, cách sửa và cách rà app của bạn, dùng framework nào cũng áp dụng được.
Quyền có trong bảng phân quyền nhưng không route nào kiểm tra
Bảng phân quyền ghi session.manage chỉ dành cho quản trị hệ thống, còn route thu hồi phiên đăng nhập lại kiểm một quyền khác. Test quét route vẫn xanh. Cách phát hiện quyền khai báo mà không ai dùng, và một test ngược chiều để bắt nó.
Mười phút đầu tiên sau khi mua VPS
VPS mới bị dò SSH trong vòng vài phút sau khi lên mạng. Danh sách việc làm ngay trên Ubuntu: cập nhật tự động, SSH chỉ bằng khóa, tắt đăng nhập root, ufw, cái bẫy Docker đi vòng qua ufw, và đồng hồ đúng giờ.
Lỡ commit file .env lên GitHub, xóa đi vẫn chưa xong
Xóa file .env, xóa commit hay viết lại lịch sử đều không thu hồi được key đã lộ. Việc đầu tiên là đổi khóa, sau đó mới dọn lịch sử, quét bằng gitleaks và chặn trong CI để không lặp lại.
Không có rate limit, form quên mật khẩu thành máy bắn spam miễn phí
Form quên mật khẩu, đăng nhập, gửi OTP không giới hạn số lần gọi thì ai cũng dùng được để spam người khác và đốt tiền email, SMS của bạn. Cách đặt rate limit theo IP, theo tài khoản, trả 429 kèm Retry-After, có code Next.js và Express.
Một đêm bị spam tin nhắn, sáng ra bill AI vài trăm đô
Chatbot hay tính năng AI trong app mà không có trần chi phí thì chỉ cần một script gửi tin liên tục cả đêm. Cách đặt trần theo người dùng, theo ngày ngay trong code, và bật giới hạn cứng trên trang của OpenAI, Anthropic, Google.
Lỗ hổng PHP2Shell đã bị khai thác thật, và tắt upload progress là chưa đủ
Hai lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 (CVSS 9,2) đang bị dò quét và khai thác trên diện rộng, có lần thử từ 17/10, trước khi bản vá ra. Không cài đặt php.ini nào chặn được hết. Kiểm tra bản PHP mà web đang chạy, vá, khởi động lại và xem log có dấu bị tấn công không.
Nextcloud tự cài đang bị cài web shell qua app soạn tài liệu có sẵn
App Collabora Online Built-in CODE Server của Nextcloud dính lỗi chạy lệnh không cần đăng nhập (CVE-2026-110447, CVSS 9,2), bị khai thác từ tháng 9 và CISA đã đưa vào danh sách KEV ngày 23/10. Tắt app không đủ: nâng lên 26.4.303 trở lên hoặc gỡ hẳn, rồi tìm file PHP lạ trong thư mục app.
Container chạy quyền root là cho hacker thêm một bậc thang
Dockerfile AI viết thường để app chạy bằng root, không giới hạn RAM, CPU, và có khi còn mount cả docker.sock. Sáu dòng cấu hình trong Dockerfile và docker-compose giúp một lỗ hổng trong app không biến thành mất cả máy chủ.
Có người báo lỗ hổng cho bạn: security.txt và cách trả lời
Người tìm ra lỗ hổng trong app của bạn cần biết báo cho ai. Cách tạo file security.txt theo RFC 9116, hộp thư nhận báo, cam kết thời gian phản hồi, cảm ơn công khai, phân biệt báo cáo thật với email đòi tiền, và khi nào nên thuê đánh giá độc lập.
Laravel: gửi số 0 thay cho token là đăng nhập được vào tài khoản người khác
Lỗi CVE-2026-114509 (CVSS 9,2) trong guard token của Laravel cho người lạ đăng nhập API bằng tài khoản có sẵn, thường là admin, nếu app dùng MySQL hoặc MariaDB. Đã có mã khai thác công khai. Nâng lên 12.68.0 hoặc 13.29.0 và kiểm tra config/auth.php.
App di động lưu token đăng nhập ở đâu cho an toàn
AsyncStorage và SharedPreferences là chữ thường, ai mở được file là đọc được token. Cách lưu token bằng Keychain và Keystore, chặn sao lưu, chỉ dùng HTTPS, khi nào nên ghim chứng chỉ, che màn hình trong trình chuyển app và giữ deep link không tự làm việc nguy hiểm.
App nhỏ có cần chống DDoS không
App nhỏ ít khi bị DDoS thật, nhưng một script gửi vài trăm request mỗi giây là đủ làm sập VPS 1 GB hay đẩy bill serverless lên. Bốn lớp chặn rẻ: Cloudflare phía trước, giới hạn ở reverse proxy, trang tĩnh khi API quá tải, và trần chi tiêu trên serverless.
Bot Telegram có nút Duyệt: ai cũng bấm được nếu bạn không kiểm
Nút inline trong group không chỉ admin bấm được, callback_data do client gửi lên nên sửa được, webhook không có secret thì ai cũng gọi được. Cách kiểm người bấm, giữ trạng thái ở server, và áp dụng cho bot Discord, Slack, Zalo.
Câu trả lời của AI cũng có thể chèn mã độc vào trang
XSS không chỉ đến từ ô bình luận. Câu trả lời của chatbot render thành HTML, markdown, tên file, link javascript: hay file CSV xuất ra đều chạy được mã của người khác. Cách nhận ra chỗ nguy hiểm trong code React, Next.js và cách sửa.
Chứng chỉ HTTPS hết hạn lúc nửa đêm và cách để không bị bất ngờ
Let's Encrypt đã ngừng gửi email nhắc hết hạn từ tháng 6/2025, và thời hạn chứng chỉ đang rút dần về 45 ngày. Cách kiểm việc tự gia hạn, đặt cảnh báo, thêm bản ghi CAA và tránh chạm giới hạn cấp chứng chỉ.
LiteLLM 1.107.0 chứa mã độc, chỉ cần mở Python là key bị gửi đi
Bản LiteLLM 1.107.0 trên PyPI và Docker bị cài mã độc lấy key cloud, key AI, mật khẩu trình duyệt. Ai cài hay kéo image trong chiều tối 21/10 (giờ Việt Nam) cần dựng lại môi trường bằng 1.106.2 và đổi mọi khóa.
GitLab tự cài dính lỗi 10 điểm, người lạ chạy được mã trên máy chủ
Lỗ hổng CVE-2026-110264 cho phép người không có tài khoản chạy mã trên GitLab tự cài, có từ bản 7.0 năm 2014. Kiểm tra phiên bản, nâng lên bản vá ngày 21/10, chưa nâng được thì đóng GitLab khỏi internet.
PHP vá hai lỗ hổng chiếm máy chủ từ xa, điểm 9,2
PHP 8.2 đến 8.5 vừa ra bản vá cho hai lỗ hổng cho phép chạy mã từ xa không cần đăng nhập, chỉ bằng một request gửi tới trang PHP. Lỗi xảy ra ở đâu, ai bị ảnh hưởng và nên làm gì ngay.
Node.js vá 10 lỗ hổng, có lỗi chạy mã từ xa qua bộ giải nén Brotli
Bản 22.23.4, 24.22.1 và 26.12.1 phát hành ngày 21/10 vá 10 lỗi, nặng nhất là lỗi ghi tràn bộ nhớ trong bộ giải nén Brotli và mấy lỗi bỏ qua kiểm tra tên miền của chứng chỉ TLS.
Gói npm độc giấu mã trong addon native, --ignore-scripts không cản được
Chiến dịch MALFEX tung biến thể imgdecode, giấu trình nạp mã độc trong file .node dựng sẵn, chạy ngay khi require chứ không cần script cài đặt. Danh sách gói, dấu hiệu nhiễm trên Windows và cách xử lý.
Zeabur lộ 3,2 triệu biến môi trường rồi tuyên bố đóng cửa
Nền tảng deploy Zeabur bị xâm nhập lần hai chỉ vì một token quản trị lưu dạng chữ thường, không hết hạn và không đổi suốt gần ba năm. Ai từng deploy ở đây cần đổi mọi khóa trong biến môi trường ngay.
Plugin Rank Math SEO PRO 3.0.123 bị cài cửa hậu ngay trong bản tải chính thức
Trong 11 tiếng ngày 15–16/10, ai tải hoặc cập nhật Rank Math SEO PRO 3.0.123 đều nhận bản có mã độc tạo tài khoản admin lạ và cửa hậu tự hồi sinh. Cách kiểm tra và dọn dẹp từng bước.
Hơn 1.500 gói npm có thể bị chiếm mà không cần mật khẩu
Lỗ hổng SlugFest trong tính năng Trusted Publishing của npm cho phép kẻ khác phát hành bản mới của gói người khác chỉ bằng cách giành lại tên repo GitHub đã đổi hoặc đã xóa. npm đã vá, nhưng chủ gói vẫn nên tự kiểm tra.
Một dấu chấm cuối tên file khiến Copilot trong Visual Studio chạy mã độc
CVE-2026-103572 trong Copilot của Visual Studio và SQL Server Management Studio: nội dung độc trong repo khiến agent ghi đè file cấu hình MCP mà không hỏi người dùng, rồi IDE tự chạy lệnh của hacker.
Next.js vá khẩn hai lỗ hổng chạy mã từ xa, điểm 9,5
Next.js 16.4.1 và 15.5.28 vá hai lỗi cho phép chạy mã từ xa không cần đăng nhập, một ở bộ nhớ đệm `use cache`, một ở khâu xử lý ảnh SVG qua thư viện sharp. Kèm một lỗi làm treo server qua Server Actions.
Key AI của bạn đang bị săn để xài chùa
Vụ OpenCode Console bị xâm nhập và mã độc Aoki lùng file cấu hình của công cụ code AI cho thấy key AI giờ là thứ đáng tiền nhất trên máy dân code. Năm việc nên làm ngay.
Một hacker, vài nghìn đô tiền AI, hơn 100 website doanh nghiệp bị phá
Reuters và NorForge phát hiện một người nói tiếng Trung dùng AI agent tự động tấn công hơn 1.200 website, xâm nhập thành công hơn 100 site, có cả John Deere và SharkNinja. Chỉ dẫn cho agent chưa tới 100 chữ.