Remote code execution
TrialKỹ thuật
Nhóm lỗ hổng cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống mục tiêu.
Vì sao ở đây
Xếp vào Trial: 9 bài bằng chứng từ 5 nguồn, chủ yếu là tin bảo mật, 2 bài trong 30 ngày qua. Độ tin cậy 84%.
Bằng chứng (9)
- 7InfoQ·9/10/2026framework_updateShopify viết lại Checkout Blocks để giảm kích thước và tăng tốc tải
Shopify đã cập nhật ứng dụng Checkout Blocks bằng cách chuyển năm tiện ích giao diện checkout có lưu lượng cao sang remote-dom với Preact và Polaris web components. Bản viết lại này cũng chuyển sang TypeScript và phiên bản API mới, giúp giảm kích thước bundle tới 85% và cải thiện thời gian tải; từ ngày 1/10/2026, chỉ các phiên bản đã cập nhật mới được hỗ trợ.
- 9Hacker News·22/9/2026securityWordPress vá lỗi path traversal không xác thực có nguy cơ RCE theo điều kiện
Một cảnh báo bảo mật của WordPress cho biết tồn tại lỗ hổng path traversal không cần xác thực, có thể dẫn tới thực thi mã từ xa trong một số điều kiện nhất định. Vấn đề này ảnh hưởng đến lõi WordPress và được xử lý như một bản vá bảo mật, không phải bản cập nhật tính năng.
- 9Simon Willison·10/9/2026securityCalif Research trình diễn sâu máy tính không cần nhấp cho WeChat
Calif Research cho biết họ đã công bố bản demo WeWorm, một sâu máy tính không cần nhấp có thể lây qua cuộc gọi WeChat trên iOS và Android mà nạn nhân không cần nghe máy hay tương tác với thiết bị. Nhóm nghiên cứu nói rằng AI đã hỗ trợ họ tìm lỗi, xây dựng khai thác thực thi mã từ xa và phát triển sâu này trong thời gian ngắn.
- 9Hacker News·4/9/2026securityLỗ hổng RCE trong sandbox Chromium đang bị khai thác
Lỗ hổng được định danh CVE-2026-85046 ảnh hưởng đến các trình duyệt dựa trên Chromium và được mô tả là một lỗi thực thi mã từ xa (RCE) trong sandbox đang bị khai thác. Báo cáo cho biết vấn đề này tác động đến mọi phiên bản Chromium, khiến đây trở thành mối lo an ninh ưu tiên cao đối với người dùng và nhà cung cấp trình duyệt.
- 8Hacker News·31/7/2026securityArch Linux vô hiệu hóa việc nhận nuôi các gói mồ côi trên AUR
Arch Linux đã vô hiệu hóa việc nhận nuôi các gói mồ côi trong Arch User Repository sau làn sóng chiếm quyền và các lượt cập nhật độc hại được thực hiện qua AUR. Chiến dịch tấn công này sử dụng các tài khoản mới tạo để đưa lên bản cập nhật chứa mã độc, trong đó có một trojan truy cập từ xa liên lạc qua Tor và cố gắng đánh cắp dữ liệu người dùng.
- 8InfoQ·26/7/2026securityLỗi video được tạo đặc biệt trong FFmpeg có thể gây RCE qua bộ giải mã MagicYUV
JFrog Security Research đã công bố PixelSmash, một lỗ hổng trong FFmpeg có thể dẫn đến thực thi mã từ xa và từ chối dịch vụ. Lỗ hổng này được cho là đã tồn tại 16 năm và ảnh hưởng đến nhiều ứng dụng sử dụng bộ giải mã MagicYUV; người dùng nên cập nhật bản vá hoặc vô hiệu hóa bộ giải mã nếu cần.
- 8Hacker News·20/7/2026researchNhà nghiên cứu tìm thấy lỗ hổng RCE WordPress bằng GPT-5.6 với 25 USD
Một nhà nghiên cứu an ninh cho biết họ đã phát hiện lỗ hổng thực thi mã từ xa (RCE) trên WordPress và báo cáo tới các bên môi giới khai thác, vốn được cho là trả tới 500.000 USD cho các phát hiện như vậy. Kết quả được thực hiện với sự hỗ trợ của GPT-5.6 và khoảng 25 USD chi phí API, cho thấy vai trò của công cụ AI trong nghiên cứu lỗ hổng.
- 9Hugging Face Blog·16/7/2026securityHugging Face công bố sự cố xâm nhập an ninh do AI điều phối
Hugging Face cho biết họ đã phát hiện và ngăn chặn một vụ xâm nhập vào một phần hạ tầng sản xuất, trong đó dữ liệu độc hại được dùng để khai thác các đường dẫn thực thi mã trong quy trình xử lý bộ dữ liệu. Công ty báo cáo có truy cập trái phép vào một số dữ liệu nội bộ và thông tin xác thực, nhưng chưa thấy dấu hiệu can thiệp vào các mô hình, bộ dữ liệu hay Spaces công khai; đồng thời đã xoay vòng bí mật, dựng lại các nút bị ảnh hưởng và đang điều tra cùng chuyên gia bên ngoài và cơ quan thực thi pháp luật.
- 4Martin Fowler·9/4/2026securityFragments: podcast, sự cố chuỗi cung ứng và thiết kế tài liệu
Martin Fowler giới thiệu hai podcast đáng chú ý: một cuộc trò chuyện giữa Simon Willison và Lenny Rachitsky về sự thay đổi của lập trình sau “điểm ngoặt tháng 11”, và một cuộc phỏng vấn của Gergely Orosz với cựu CTO Uber Thuan Pham. Ông cũng nhắc tới bài phân tích sự cố chuỗi cung ứng của Axios với mã độc truy cập từ xa được ngụy trang, đồng thời bàn ngắn gọn về Diátaxis, một khung tổ chức tài liệu kỹ thuật.