Tổng hợp bài viết được gắn thẻ “github”.
INJ3CTOR3 đã cập nhật kỹ thuật của mình để truy cập thông tin trunk từ các hệ thống FreePBX, Issabel và Elastix. Kỹ thuật mới cho phép kẻ tấn công đăng ký và gọi điện từ bất kỳ máy nào, gây ra rủi ro mới cho nạn nhân.
Brandon Caldwell, một quản lý kỹ sư an ninh ứng dụng tại AWS, chia sẻ về công việc hàng ngày của mình, tập trung vào việc trò chuyện với đội ngũ phát triển để tìm ra điểm yếu trong mã nguồn. Anh ấy nhấn mạnh tầm quan trọng của kỹ năng giao tiếp và viết văn bản rõ ràng trong ngành an ninh mạng.
CISA cảnh báo các lỗ hổng zero-day trong EPICS Base có thể gây ra tình trạng mất dịch vụ, rò rỉ thông tin và mã độc chạy tự động. Các phiên bản EPICS Base <=7.0.10 đều bị ảnh hưởng. Google đã phát hành bản vá 7.0.11 để khắc phục.
Google đã phát hành bản vá cho lỗ hổng zero-day trong Brotli decoder, có thể dẫn đến mã hóa remort code. Lỗ hổng này ảnh hưởng đến Node.js, .NET, Bun và nhiều công cụ khác. Các bản vá đã được phát hành cho các phiên bản mới của các dự án liên quan.
Cập nhật của GitHub về Actions năm 2026 đã làm giảm khả năng tấn công thông qua pull_request_target, nhưng không loại bỏ hoàn toàn. Nghiên cứu cho thấy vẫn còn một số lỗ hổng và đề xuất cách kiểm tra để phát hiện chúng.
Một chiến dịch tự động đang cài đặt các quy trình rò rỉ bí mật vào mọi kho lưu trữ mà các token GitHub bị trộm có thể tiếp cận. Nhóm này không sử dụng máy chủ C2 và đang liên tục phát triển. GitHub đã cải thiện an ninh gần đây đã làm gián đoạn hoạt động của nhóm.
eMudhra, một nhà cung cấp dịch vụ tín dụng số và an ninh mạng, gặp sự cố với 8 certificates trung gian do vấn đề trong quá trình tạo khóa. Vấn đề này làm giảm entropy của khóa P-384, cho phép kẻ tấn công khôi phục khóa và phát hành chứng chỉ giả mạo. Các nhà cung cấp trình duyệt như Chrome, Mozilla, Apple và Microsoft đã chặn các certificates này.
Rapid7 đã phát hành Metasploit với nhiều module mới, trong đó 6 module nhắm vào Langflow, một công cụ xây dựng quy trình AI nguồn mở. Các module này bao gồm các lỗ hổng như bypass xác thực, code execution không xác thực và xác thực. Đồng thời, MongoDB cũng được mở rộng với các module mới và công cụ quét phiên bản.
Node.js đã phát hành bản vá khẩn cấp vào ngày 21/10/2026 cho các phiên bản 26.x, 24.x và 22.x. Lỗi TLS và Brotli được sửa chữa, cùng với việc cập nhật các phụ thuộc quan trọng như OpenSSL và Undici. Các lỗ hổng nghiêm trọng được khắc phục, bao gồm việc bỏ qua kiểm tra tên máy chủ trong chứng chỉ TLS.
Nghiên cứu viên @r31n chia sẻ về cách phát triển kỹ năng bảo mật thông qua chương trình Bug Bounty của GitHub. Họ tập trung vào việc tìm kiếm chuỗi khai thác và kết hợp các lỗ hổng nhỏ để tạo ra lỗ hổng nghiêm trọng hơn. @r31n cũng nhấn mạnh tầm quan trọng của việc tự thực hành và hiểu rõ các kỹ thuật để giữ kỹ năng luôn mới.
