Vừa qua, Haposoft đã phối hợp cùng Viện Phát triển Nguồn nhân lực Việt Nam - Nhật Bản (VJCC), Đại học Ngoại thương (FTU) và Đại học Shitennoji (Nhật Bản) tổ chức thành công chương trình thực tập đặc biệt. Đây không chỉ là một hoạt động đào tạo ngắn hạn, mà là một phần trong chiến lược dài hạn của Haposoft nhằm kiến tạo thế hệ nhân sự công nghệ có tư duy toàn cầu và am hiểu sâu sắc về văn hóa kinh doanh quốc tế. Mô hình hợp tác thực tiễn giữa Haposoft, FTU và Đại học Shitennoji Chương trình đã kết nối 4 bạn sinh viên từ Đại học Ngoại thương (FTU) và Đại học Shitennoji (Nhật Bản) để cùng thực tập trong một môi trường làm việc chung tại Haposoft. Tại đây, sinh viên hai nước cùng đối mặt với một bài toán thực tế, giúp những góc nhìn khác biệt và các cuộc thảo luận đa chiều nảy sinh một cách rất tự nhiên. Thay vì chia nhóm làm việc riêng lẻ, tất cả các bạn đều tham gia vào cùng một quy trình vận hành. Cách làm này giúp các bạn trải nghiệm một môi trường công sở thực thụ, thay vì cảm giác như đang ngồi trong một lớp học được dàn dựng sẵn. Chính những lần tương tác, tranh luận trực tiếp mới là điều tạo nên giá trị cho chương trình, chứ không phải là bất kỳ khuôn khổ cứng nhắc nào. Nội dung thực tập được xây dựng dựa trên chính những thách thức kinh doanh mà Haposoft đang xử lý. Thay vì giải các tình huống (case study) có sẵn trong sách vở, sinh viên phải tìm cách tiếp cận vấn đề dựa trên bối cảnh thị trường thực tế và những thông tin hiện có. Vì không có một đáp án mẫu hay lộ trình định sẵn, phần lớn thời gian các bạn dành cho việc nghiên cứu, so sánh và phản biện các phương án khác nhau. Có những ý tưởng trùng lặp, nhưng cũng có những hướng đi hoàn toàn trái ngược và chính sự va chạm đó mới phản ánh đúng cách mà các doanh nghiệp giải quyết vấn đề trong thực tế. Điều đáng ghi nhận nhất không phải là câu trả lời cuối cùng, mà là cách các bạn tiếp cận vấn đề qua từng ngày. Sinh viên phải học cách xử lý những thông tin chưa rõ ràng, làm quen với các giả định khác nhau và biết cách điều chỉnh quan điểm sau mỗi buổi thảo luận. Thay vì được "cầm tay chỉ việc", các bạn phải tự mình xác định điều gì là quan trọng và điều gì không. Dù trải nghiệm này có phần khó đoán và thách thức hơn, nhưng lại cực kỳ sát với thực tế. Sau cùng, giá trị lớn nhất mà các bạn nhận được chính là phương pháp tư duy và kỹ năng giải quyết vấn đề, chứ không chỉ đơn thuần là một kết luận trên giấy. Tổng kết chương trình: Sinh viên đã thực hiện những gì trong kỳ thực tập? Trong suốt một tuần, các sinh viên không chỉ dừng lại ở vai trò quan sát viên mà đã trực tiếp tham gia vào quy trình giải quyết một thách thức kinh doanh thực tế. Trọng tâm của chương trình xoay quanh một câu hỏi chiến lược mà Haposoft đối mặt hàng ngày: “Làm thế nào để Haposoft thu hút và xây dựng mối quan hệ bền vững với các khách hàng Nhật Bản trong lĩnh vực phát triển phần mềm?” Để tìm ra lời giải toàn diện, các bạn sinh viên đã phân tích vấn đề qua ba lăng kính chủ đạo: Bức tranh tổng thể: Phân tích thực trạng ngành IT Outsourcing tại Việt Nam để định vị lợi thế cạnh tranh. Góc nhìn khách hàng: Tìm hiểu sâu về kỳ vọng, rào cản văn hóa và phong cách làm việc đặc thù của các doanh nghiệp Nhật Bản. Chiến lược thị trường: Đánh giá cách thức các doanh nghiệp IT xây dựng và duy trì sự tin tưởng dài hạn tại thị trường này. Đây không đơn thuần là một bài tập phân tích lý thuyết. Sinh viên đã có cơ hội đối thoại trực tiếp với đội ngũ chuyên gia của Haposoft đang vận hành thực tế tại Nhật Bản. Giá trị lớn nhất của chương trình chính là khả năng chuyển hóa dữ liệu thô thành các ý kiến thực thi, giúp sinh viên vượt xa khỏi những khung kiến thức cơ bản. Giải mã cách thức các công ty IT Việt Nam tiếp cận thị trường Nhật Thay vì những lý thuyết chung chung về Outsourcing, các buổi thảo luận tập trung thẳng vào chiến lược thực tế mà Haposoft đang áp dụng. Chương trình đi sâu vào những thách thức thực thụ: từ việc tìm kiếm nguồn dự án đến lộ trình bồi đắp mối quan hệ đối tác bền chặt. Thấu hiểu vận hành ngành IT Outsourcing Việt Nam Sử dụng mô hình của Haposoft làm ví dụ điển hình, sinh viên được tìm hiểu cách thức một dự án quốc tế được tổ chức và vận hành. Mọi nội dung đều bám sát thực tế tại doanh nghiệp: từ quy trình phối hợp nội bộ đến cách thức triển khai công việc hàng ngày với khách hàng nước ngoài. Đáp ứng nhu cầu khắt khe của doanh nghiệp Nhật Các doanh nghiệp Nhật Bản thường yêu cầu mức độ chi tiết và minh bạch tuyệt đối ngay từ giai đoạn khởi động. Điều này đòi hỏi: Sự nhất quán trong thông tin: Đảm bảo mọi cam kết được thực hiện chuẩn xác. Quản trị rủi ro sớm: Nhận diện và thông báo các vấn đề phát sinh ngay từ đầu. Tính minh bạch: Xây dựng quy trình làm việc rõ ràng để củng cố niềm tin. Bài học lớn nhất ở đây là: Giao tiếp hiệu quả không chỉ nằm ở ngôn ngữ, mà nằm ở khả năng thích nghi với văn hóa làm việc của đối tác. Chiến lược tìm kiếm và phát triển khách hàng của các công ty IT tại thị trường Nhật Bản Tại thị trường Nhật, các dự án thường được khơi gợi từ mạng lưới đối tác tin cậy (Network) thay vì các hoạt động bán hàng ngắn hạn. Mối quan hệ được xây dựng dựa trên uy tín được tích lũy theo thời gian, nơi hồ sơ năng lực và kinh nghiệm thực tế là "tấm thẻ thông hành" quan trọng nhất. Kết nối tài năng trẻ với kỳ vọng thực tiễn của thị trường Chương trình đã giúp thu hẹp khoảng cách giữa lý thuyết giảng đường và yêu cầu thực tế của thị trường lao động toàn cầu. Việc đối mặt với một "bài toán thật" giúp các bạn trẻ nhận ra những kỹ năng còn thiếu một cách nhanh chóng nhất. Tại Haposoft, chúng tôi không xem đây là một kỳ thực tập thông thường. Đây là nỗ lực dài hạn trong việc hỗ trợ đào tạo thế hệ kế cận, đồng thời duy trì sự gắn kết bền chặt giữa thực tế hợp tác của hai quốc gia Việt Nam - Nhật Bản. Bối cảnh thực tế đã giúp các cuộc thảo luận trở nên sống động, cho thấy rõ những yêu cầu then chốt nằm ngoài kỹ năng kỹ thuật. Lời kết Haposoft rất trân trọng cơ hội được mang đến một môi trường làm việc thực thụ cho các bạn sinh viên. Dù thời gian không quá dài, chương trình đã mở ra một không gian trải nghiệm quý giá, nơi những góc nhìn khác biệt cùng hội tụ để giải quyết một bài toán chung. Trong tương lai, Haposoft sẽ tiếp tục đẩy mạnh hoạt động tại Nhật Bản, tập trung vào việc xây dựng niềm tin ngay từ những bước đầu tiên. Nếu bạn đang tìm kiếm một đối tác phát triển phần mềm thấu hiểu thị trường Nhật Bản, luôn sẵn sàng đồng hành và hiện thực hóa các kế hoạch của bạn.  

Tuần này tiếp tục là một tuần đầy thách thức đối với những người đang vận hành cơ sở hạ tầng tự lưu trữ. Vào ngày 7 tháng 5 năm 2026, Vercel đã công bố 13 lỗ hổng bảo mật mới ảnh hưởng đến môi trường tự lưu trữ và phát hành các bản vá bảo mật khẩn cấp cho các phiên bản Next.js 15.5.18 và 16.2.6. Trong số đó, CVE-2026-44578 đã thu hút sự chú ý từ cộng đồng bảo mật do phạm vi ảnh hưởng rộng lớn của nó. Theo thông báo, lỗ hổng này cho phép kẻ tấn công lợi dụng việc xử lý nâng cấp WebSocket để kích hoạt hành vi giả mạo yêu cầu phía máy chủ (SSRF) bên trong các máy chủ Next.js dễ bị tổn thương. Nếu bạn đang vận hành một ứng dụng Next.js tự lưu trữ, bạn cần phải hành động ngay bây giờ. Tình hình Bản cập nhật bảo mật tháng 5 năm 2026 của Vercel khắc phục 13 lỗ hổng CVE thuộc nhiều loại khác nhau, bao gồm bỏ qua phần mềm trung gian, tấn công từ chối dịch vụ, làm nhiễm độc bộ nhớ cache, tấn công XSS và các lỗ hổng SSRF mức độ nghiêm trọng cao. Đây không phải là các vấn đề lý thuyết mà ảnh hưởng đến hoạt động thực tế của các ứng dụng Next.js phía máy chủ, và hầu hết đều có thể bị khai thác mà không cần xác thực. Nếu bạn triển khai Next.js trên nền tảng của Vercel, bạn đã được bảo vệ. Cơ sở hạ tầng biên của họ đã được vá lỗi trước khi thông tin được công khai. Nhưng nếu bạn tự lưu trữ, dù trên máy chủ riêng, Docker, Kubernetes hay VPS, bạn có trách nhiệm nhanh chóng áp dụng các bản vá lỗi. Các phiên bản bị ảnh hưởng là tất cả các bản phát hành Next.js trước phiên bản 15.5.18 (đối với nhánh 15.x) và 16.2.6 (đối với nhánh 16.x). Nguồn: Vercel Security Changelog – May 2026 Lỗ hổng bảo mật nghiêm trọng: CVE-2026-44578 Vấn đề nghiêm trọng nhất trong bản phát hành này là CVE-2026-44578, một lỗ hổng SSRF được kích hoạt trong quá trình xử lý thiết lập kết nối với WebSocket. Cách thức hoạt động Next.js xác thực sai tiêu đề X-Forwarded-Host khi xử lý các yêu cầu bao gồm các tiêu đề websocket Connection: Upgrade và Upgrade. Kẻ tấn công có thể tạo ra một yêu cầu như sau: GET /api/public HTTP/1.1 Host: victim-app.com Connection: Upgrade Upgrade: websocket X-Forwarded-Host: http://169.254.169.254/latest/meta-data/ Nếu máy chủ không được vá lỗi, Next.js sẽ sử dụng ngữ cảnh mạng của chính máy chủ để chuyển tiếp các yêu cầu đến địa chỉ được chỉ định bởi X-Forwarded-Host. Điều này có nghĩa là kẻ tấn công bên ngoài có thể truy cập vào các tài nguyên nội bộ mà máy chủ không nên để lộ. Tại sao điều này lại quan trọng Rủi ro trước mắt là việc truy cập vào các điểm cuối siêu dữ liệu đám mây: AWS IMDSv1: http://169.254.169.254/latest/meta-data/ Siêu dữ liệu GCP: http://metadata.google.internal/computeMetadata/v1/ Azure IMDS: http://169.254.169.254/metadata/instance Các điểm cuối này thường trả về thông tin xác thực IAM, mã thông báo tài khoản dịch vụ hoặc dữ liệu cấu hình phiên bản. Với những thông tin đó, kẻ tấn công có thể di chuyển ngang, can thiệp đặc quyền hoặc đánh cắp dữ liệu. Các nhà nghiên cứu bảo mật ước tính hiện có khoảng 79.000 phiên bản Next.js tự lưu trữ đang được kết nối với internet công cộng. Nếu bạn đang sử dụng một trong số đó và chưa vá lỗi, bạn rất có thể dễ bị tấn công. Ai bị ảnh hưởng? Bạn có nguy cơ gặp rủi ro nếu: Bạn chạy Next.js ở chế độ máy chủ (SSR, định tuyến API, middleware) trên cơ sở hạ tầng của riêng bạn. Phiên bản Next.js của bạn thấp hơn 15.5.18 hoặc 16.2.6. Ứng dụng của bạn chấp nhận lưu lượng HTTP từ bên ngoài (trực tiếp hoặc thông qua bộ cân bằng tải). Bạn có thể an toàn nếu: Bạn đang lưu trữ trên Vercel (đã được vá lỗi ở vùng biên). Bạn sử dụng lệnh xuất tiếp theo để tạo một trang web hoàn toàn tĩnh. Phiên bản Next.js của bạn không thể truy cập được từ internet và bạn có các quy tắc kiểm soát truy cập ra nghiêm ngặt. Ghi chú: Việc sử dụng phần mềm trung gian để xác thực không làm giảm thiểu các lỗ hổng này. Một số lỗ hổng CVE đã được khắc phục cố tình bỏ qua logic của phần mềm trung gian. Cách kiểm tra phiên bản của bạn Chạy một trong các lệnh sau trong thư mục dự án của bạn: Kiểm tra phiên bản đã cài đặt. Nếu thấp hơn 15.5.18 hoặc 16.2.6 (tùy thuộc vào phiên bản chính của hệ điều hành), bạn cần nâng cấp.Ngoài ra, hãy kiểm tra file package.json của bạn. Nếu bạn sử dụng các phạm vi có dấu mũ hoặc dấu ngã (^15.5.0 hoặc ~16.2.0), hãy đảm bảo rằng file lockfile của bạn thực sự trỏ đến một phiên bản đã được vá lỗi. Đừng giả định – hãy kiểm tra file node_modules/next/package.json. Các hành động cần thực hiện ngay lập tức Nếu nhóm của bạn tự quản lý Next.js, việc vá lỗi cần được xử lý khẩn cấp. 1. Cập nhật Next.js ngay lập tức Nâng cấp lên: Next.js 15.5.18 Next.js 16.2.6 Hoặc các bản phát hành được vá lỗi mới hơn Nếu ứng dụng của bạn có liên quan đến internet, đừng trì hoãn việc này. 2. Chặn các điểm cuối siêu dữ liệu nội bộ Ngay cả sau khi vá lỗi, các dịch vụ siêu dữ liệu đám mây không bao giờ được phép truy cập công khai từ các vùng chứa ứng dụng trừ khi thực sự cần thiết. Hạn chế quyền truy cập vào: 169.254.169.254 AWS IMDSv1 Điểm cuối siêu dữ liệu GCP Azure IMDS Người dùng AWS cũng nên vô hiệu hóa hoàn toàn IMDSv1 và bắt buộc sử dụng IMDSv2. 3. Xem lại các quy tắc về máy chủ proxy ngược. Kiểm tra: Cấu hình Nginx Thiết lập Traefik Bộ cân bằng tải Quy tắc chuyển tiếp WebSocket Các tiêu đề nâng cấp được cấu hình sai đôi khi có thể làm tăng nguy cơ bị tấn công. 4. Giám sát các yêu cầu nội bộ đáng ngờ Hãy tìm kiếm các mô hình giao thông bất thường liên quan đến: Địa chỉ IP siêu dữ liệu Phạm vi RFC1918 nội bộ Yêu cầu gửi đi không mong đợi Các sự cố bất thường khi nâng cấp WebSocket Điều này đặc biệt quan trọng đối với các cụm máy chủ sản xuất xử lý lưu lượng truy cập công cộng. 5. Bảo mật về môi trường đánh giá Nếu có khả năng phiên bản của bạn đã bị lộ ra ngoài khi đang ở trạng thái dễ bị tổn thương: Xoay vòng thông tin đăng nhập đám mây Xoay vòng khóa API Xem xét hoạt động IAM Kiểm tra nhật ký đánh giá để tìm kiếm quyền truy cập bất thường. Không nên chủ quan rằng những nỗ lực khai thác thất bại sẽ không để lại dấu vết. Tại sao điều này lại xảy ra? Next.js đang phát triển rất nhanh chóng. Các tính năng như middleware, server actions, WebSocket proxies và React Server Components mở rộng chức năng, nhưng cũng làm tăng diện tích bề mặt tấn công. Với việc tự lưu trữ, trách nhiệm theo dõi và áp dụng các bản cập nhật bảo mật thuộc về người dùng. Không có gì có thể thay thế cho một quy trình vá lỗi có kỷ luật. Hãy đăng ký nhận thông báo bảo mật từ Vercel. Theo dõi kho lưu trữ GitHub của Next.js để biết các thẻ bảo mật. Coi các bản cập nhật lớn của framework là các sự kiện bảo mật tiềm ẩn, chứ không chỉ là các bản phát hành tính năng. Vấn đề lớn hơn: Sự tiện lợi so với quyền sở hữu cơ sở hạ tầng Sự việc này nêu bật một thực tế khó chấp nhận mà nhiều đội cuối cùng cũng đối mặt: "Tự lưu trữ có thể giúp tiết kiệm chi phí" – cho đến khi việc bảo trì cơ sở hạ tầng trở thành vấn đề an ninh. Các framework như Next.js đang phát triển với tốc độ rất nhanh. Mặc dù tốc độ này cải thiện trải nghiệm của nhà phát triển, nhưng nó cũng làm tăng gánh nặng vận hành đối với việc triển khai tự lưu trữ. Áp dụng các bản vá lỗi bảo mật Tăng cường bảo mật trong quá trình hoạt động Bảo trì máy chủ proxy ngược Quản lý phụ thuộc Giám sát cơ sở hạ tầng Đối với các nhóm nhỏ không có quy trình DevSecOps chuyên dụng, các bản vá lỗi quan trọng rất dễ bị bỏ sót. Nếu bạn quản lý cơ sở hạ tầng trọng yếu và không có đủ nguồn lực để kiểm tra, vá lỗi và tăng cường bảo mật ngay lập tức, hãy cân nhắc thuê dịch vụ hỗ trợ. Haposoft có thể giúp các nhóm: Kiểm tra các triển khai Next.js để phát hiện các lỗ hổng bảo mật CVE đã biết. Áp dụng các bản vá khẩn cấp với chiến lược không gây gián đoạn hoạt động. Tăng cường bảo mật cơ sở hạ tầng đám mây chống lại các cuộc tấn công SSRF, rò rỉ siêu dữ liệu và vượt qua xác thực. Thiết lập các quy trình bảo mật tự động để đảm bảo khả năng phục hồi lâu dài. Nếu cần hỗ trợ, vui lòng liên hệ qua trang liên hệ hoặc để lại bình luận bên dưới. Chúng tôi sẽ phản hồi nhanh chóng đối với các vấn đề an ninh khẩn cấp. Lời kết Các framework hiện đại không còn chỉ là công cụ front-end; chúng đang phát triển để hoạt động như các nền tảng ứng dụng. Điều này làm thay đổi đáng kể kỳ vọng về bảo mật. Khi chạy Next.js trong môi trường sản xuất bên ngoài một nền tảng được quản lý, việc quản lý bản vá và tăng cường bảo mật cơ sở hạ tầng không còn được coi là các nhiệm vụ bảo trì tùy chọn; chúng trở thành một phần không thể thiếu trong vòng đời của ứng dụng.