Security & DevSecOps
AppSec, supply-chain, OAuth/JWT, secrets, vulnerability và hardening.
Bài trong chủ đề
19 bài
Microsoft Security · 2 ngày trướcMicrosoft ra mắt Project Perception cho phòng thủ agentic
Microsoft đưa Project Perception vào preview: hệ thống agentic với ba nhóm agent đỏ, xanh dương, xanh lá, chạy trên mô hình bảo mật riêng MAI-Cyber-1-Flash, tính phí theo SCU.
Check Point · 7 ngày trướcCheck Point CVE-2026-16232: vượt xác thực SmartConsole, đang bị khai thác
Check Point phát hành hotfix cho CVE-2026-16232, lỗ hổng vượt xác thực trong tiến trình đăng nhập SmartConsole cho phép kẻ tấn công chưa xác thực chiếm quyền quản trị đầy đủ máy chủ quản lý firewall. Lỗi đang bị khai thác thực tế; CISA đưa vào danh mục KEV với hạn xử lý 25/7 cho cơ quan liên bang Mỹ.
Microsoft MSRC · 8 ngày trướcSharePoint CVE-2026-50522: RCE 9.8 đang bị khai thác
CVE-2026-50522 là lỗ hổng deserialization trong Microsoft SharePoint Server, CVSS 9.8, cho phép kẻ chưa xác thực thực thi mã từ xa. CISA đưa vào danh mục KEV ngày 22/7 với hạn vá 25/7 cho cơ quan liên bang Mỹ.
Security & DevSecOps
Oracle · 8 ngày trướcOracle CPU 7/2026: bản vá lớn nhất lịch sử, 1.449 lỗi
Oracle phát hành Critical Patch Update lớn nhất từ trước tới nay: 1.449 bản vá cho 1.434 CVE trải trên 334 sản phẩm, gồm nhiều lỗi nghiêm trọng — cần vá ngay.
WordPress.org · 12 ngày trướcWordPress 7.0.2 vá RCE không cần đăng nhập, buộc auto-update
WordPress phát hành 7.0.2 ngày 17/7 vá một lỗi Critical và một lỗi High: RCE không cần xác thực qua batch endpoint của REST API, cùng lỗi SQL injection. Đội WordPress.org bật cập nhật tự động cưỡng bức cho site dính lỗi.
.png)
Security & DevSecOps
AI Security Institute (UK) · 13 ngày trướcAISI: mô hình mở chỉ còn kém frontier 4–7 tháng về năng lực mạng
Viện An ninh AI Anh (AISI) công bố đánh giá đầu tiên về khoảng cách năng lực an ninh mạng giữa mô hình open weight và closed frontier: GLM-5.2 và DeepSeek V4-Pro chỉ kém 4–7 tháng, hẹp hơn mức 6–10 tháng của năm 2025.
Chrome Releases · 15 ngày trướcChrome 150 bản Stable vá 15 lỗ hổng, 2 mức Critical
Google cập nhật Chrome Stable desktop lên 150.0.7871.124/.125, vá 15 lỗ hổng bảo mật, gồm 2 lỗi Critical use-after-free trong Ozone; người dùng nên cập nhật sớm.
GitHub · 21 ngày trướcGitHub mở Innersource Security Advisories cho doanh nghiệp
GitHub Advanced Security cho phép doanh nghiệp phát hành advisory bảo mật nội bộ, chỉ hiển thị trong các repo của tổ chức thay vì công khai ra ngoài.
AWS · 23 ngày trướcACM hỗ trợ ACME, tự động cấp/gia hạn chứng chỉ TLS công khai
AWS Certificate Manager nay hỗ trợ giao thức ACME, cho phép tự động cấp và gia hạn chứng chỉ TLS công khai bằng công cụ chuẩn, phổ biến thay vì quy trình riêng của AWS.
Jaeyoung Chung (GitHub) · 26 ngày trướcBad Epoll: lỗ hổng kernel Linux cho leo thang lên root
Bad Epoll (CVE-2026-46242) là lỗi use-after-free trong epoll của kernel Linux, cho tiến trình thường leo lên root; ảnh hưởng kernel v6.4+ và cả Android, đã có bản vá.
US Department of Justice · 28 ngày trướcNghi phạm Scattered Spider bị dẫn độ về Mỹ
DOJ: Peter Stokes (19 tuổi, quốc tịch kép Mỹ-Estonia), nghi thành viên Scattered Spider, bị bắt ở Phần Lan và dẫn độ về Mỹ với cáo buộc conspiracy, xâm nhập máy tính và lừa đảo.
CISA · 28 ngày trướcCISA: lỗ hổng RCE SharePoint (CVE-2026-45659) đang bị khai thác, vá trước 4/7
CISA đưa CVE-2026-45659 — lỗi deserialization trên Microsoft SharePoint Server cho phép thực thi mã từ xa — vào danh mục KEV sau khi xác nhận đã bị khai thác thực tế. Cơ quan liên bang Mỹ phải khắc phục trước 4/7/2026; đội vận hành SharePoint on-prem nên vá gấp theo hướng dẫn của Microsoft.
Security & DevSecOpsCato Networks · 29 ngày trướcDuneSlide: 2 lỗ hổng RCE nghiêm trọng trong Cursor IDE
Cato AI Labs công bố DuneSlide — hai lỗ hổng RCE (CVSS 9.8, CVE-2026-50548/50549) trong Cursor IDE. Prompt injection zero-click ghi file tùy ý, thoát sandbox và chiếm máy dev. Đã vá ở Cursor 3.0; mọi bản trước đều dính.
runZero · 29 ngày trước7 lỗ hổng FatFs đe doạ hàng triệu thiết bị nhúng, phần lớn chưa vá
runZero công bố 7 CVE trong FatFs — driver hệ thống tệp FAT/exFAT có mặt khắp ESP-IDF, STM32Cube, Zephyr, MicroPython, ArduPilot… Nặng nhất là CVE-2026-6682 (CVSS 7.6): tràn số nguyên khi mount FAT32 tạo kích thước tệp giả, có thể dẫn tới hỏng bộ nhớ và thực thi mã. Chỉ 1/7 lỗi được vá upstream (R0.16); maintainer gần như không phản hồi nên phần lớn vẫn để ngỏ.
Adobe PSIRT · 29 ngày trướcAdobe vá 11 lỗi ColdFusion, 6 lỗi đạt CVSS tối đa 10.0
Bản tin APSB26-68 vá 11 lỗ hổng ColdFusion 2025/2023, trong đó 6 lỗi RCE không cần xác thực đạt CVSS 10.0; Adobe xếp Priority 1, khuyến nghị cập nhật ngay.
GitHub · 29/6/2026SimpleX Chat: mạng nhắn tin không định danh người dùng
SimpleX Chat tự nhận là mạng nhắn tin đầu tiên hoạt động hoàn toàn không có định danh người dùng, ưu tiên riêng tư và chống theo dõi metadata; đang trending tuần này.
GitHub · 29/6/2026817 'kỹ năng' an ninh mạng cho AI agent
Repo Anthropic-Cybersecurity-Skills gom 817 kỹ năng an ninh mạng có cấu trúc cho AI agent, ánh xạ vào 6 khung như MITRE ATT&CK, NIST CSF 2.0, MITRE ATLAS và D3FEND.
PTC · 25/6/2026CISA: lỗi RCE PTC Windchill (CVE-2026-12569) đang bị khai thác
CISA đưa lỗi RCE nghiêm trọng trong PTC Windchill PDMLink và FlexPLM (CVE-2026-12569, CVSS 9.3) vào danh mục KEV ngày 26/6 do bằng chứng đang bị khai thác. Lỗi nằm ở việc giải tuần tự (deserialization) dữ liệu không tin cậy; kẻ tấn công đang cài JSP web shell. CISA yêu cầu cơ quan liên bang vá trước 28/6.
Splunk · 19/6/2026CISA cảnh báo lỗi Splunk Enterprise CVE-2026-20253 đang bị khai thác
CISA yêu cầu cơ quan liên bang Mỹ vá lỗi nghiêm trọng CVE-2026-20253 trên Splunk Enterprise đang bị khai thác thực tế. Lỗi cho phép kẻ tấn công không cần quyền tạo/xóa file qua endpoint PostgreSQL sidecar thiếu xác thực, có thể dẫn tới RCE.