ทีมวิจัยจากสถาบันวิจัย INRIA ในฝรั่งเศสนำเสนอช่องโหว่ใหม่ในมาตรฐาน TLS 1.2 ที่รองรับกระบวนการเซ็นลายเซ็นรับรองข้อความแบบ RSA-MD5 จากเดิมที่ TLS 1.1 ลงไปจะบังคับให้ใช้แฮช MD5 ต่อกับ SHA1 เท่านั้น

มาตรฐาน TLS 1.2 เปิดให้เซิร์ฟเวอร์สามารถเซ็นด้วยแฮชใดๆ ก็ได้เพื่อเปิดช่องทางให้เซิร์ฟเวอร์สามารถเลือกกระบวนการแฮชที่แข็งแรงขึ้นเช่น SHA-256 หรือ SHA-512 แต่การออกแบบเช่นนี้ก็ทำให้เซิร์ฟเวอร์เปิดรองรับกระบวนการเซ็นด้วย MD5 ไปด้วย

ช่องโหว่ใน ScreenOS จากโค้ดที่ไม่ได้รับอนุญาตรายงานออกมาโดยทาง Juniper เอง กลายเป็นประเด็นต่อเนื่องเมื่อนักวิจัยระบุว่าช่องโหว่ถอดรหัส VPN นั้นอาจจะเป็นช่องโหว่ที่ถูกวางไว้อย่างจงใจตั้งแต่แรก เพราะช่องโหว่ที่ Juniper แก้ไขนั้นเป็นเพียงการแก้ค่าคงที่ที่ถูกเปลี่ยนไปเท่านั้น

เมื่อปีที่ผ่านมา Adobe Flash มีอัพเดตโดยเพิ่มฟีเจอร์ความปลอดภัยใหม่จาก Project Zero เป็นตัวแบ่งส่วน heap (isolators of heaps) ทำให้แม้ Flash จะมีช่องโหว่แต่ก็ไม่สามารถเจาะออกไปยังระบบอื่นๆ ได้ แม้จะมีข้อจำกัดว่าใช้ได้เฉพาะในโครมรุ่น 64 บิตเท่านั้น แต่การใช้งานก็มากขึ้นเรื่อยๆ Zerodium นายหน้าค้าช่องโหว่ซอฟต์แวร์ก็ออกประกาศหาทางเจาะทะลุการป้องกันนี้แล้ว โดยตั้งรางวัล 100,000 ดอลลาร์

แนวทางการแยก heap ออกจากกันได้รับความนิยมมากขึ้นเรื่อยๆ การอัพเดตรอบเดือนธันวาคมที่ผ่านมาไมโครซอฟท์ก็เข้ามาช่วยกับอโดบีในการพัฒนาเทคนิคนี้

ไมโครซอฟท์ย้ำเส้นตายสุดท้ายหยุดซัพพอร์ต Internet Explorer ทีเดียวสามรุ่น 8, 9, 10 ในวันที่ 12 มกราคมนี้ โดยมีอัพเดตแจ้งเตือนลูกค้าว่ากำลังใช้งานรุ่นที่หมดซัพพอร์ตมาตั้งแต่เดือนที่แล้ว

สำหรับผู้ใช้ทั่วไป การใช้งานซอฟต์แวร์ที่ไม่มีซัพพอร์ตแล้วแปลว่าไมโครซอฟท์จะไม่ออกแพตช์ใหม่ให้อีกแม้จะพบช่องโหว่ความปลอดภัยเพิ่มเติมในอนาคต ผลิตภัณฑ์หลายตัวจะไม่สนใจปัญหาที่เกิดกับเบราว์เซอร์รุ่นเก่า เช่น Office 365 อาจจะมีปัญหากับเบราว์เซอร์เหล่านี้ และที่สำคัญคือหน่วยงานที่ถูกควบคุมความปลอดภัย เช่นหน่วยงานเก็บข้อมูลสุขภาพ อาจจะมีเงื่อนไขต้องใช้เฉพาะซอฟต์แวร์ที่มีซัพพอร์ตเท่านั้น

ปัญหาเราท์เตอร์ตามบ้านไม่ปลอดภัยทำให้ผู้ใช้ไม่ปลอดภัยไปด้วยเป็นปัญหาเรื้อรังทั่วโลก Alexander Graf ทดสอบโมเด็ม DOCSIS ที่เขาใช้ที่บ้านของเขาเอง และพบว่าโมเด็มเชื่อมต่อกับเครือข่ายถึงสามอินเทอร์เฟซแทนที่จะเป็นอินเทอร์เฟซเดียว โดยแยกอินเทอร์เน็ต, VoIP, และเครือข่ายแอดมิน

ที่น่าประหลาดใจคือเครือข่ายแอดมินจะจ่ายไฟล์คอนฟิกทุกครั้งผ่าน TFTP โดยเครือข่ายอาศัยหมายเลข MAC เพื่อตรวจสอบว่าควรส่งไฟล์คอนฟิกของใครมาให้บ้าง Graf พบว่าเขาสามารถขอคอนฟิกของใครก็ได้เพียงแค่ปลอมค่า MAC

นโยบายปล่อยแพตช์ความปลอดภัยรายเดือนของแอนดรอยด์มาถึงรอบเดือนมกราคม รอบนี้มีแพตช์ระดับวิกฤติ 6 รายการ ส่วนมากเป็นการยกระดับสิทธิ์การรัน ยกเว้นช่องโหว่ CVE 2015-6636 เป็นช่องโหว่การรันโค้ดจากภายนอก

ช่องโหว่ CVE 2015-6636 เป็นช่องโหว่แบบเดียวกับ Stagefright ที่เปิดให้คนร้ายสามารถส่งไฟล์สื่อเช่นวิดีโอเข้ามารันโค้ดในเครื่องได้

ช่องโหว่อื่นๆ มีความร้ายแรงต่างกันไป ช่องโหว่บางส่วนสามารถฝังมัลแวร์เอาไว้ในเครื่องได้โดยที่ไม่สามารถล้างออกไปได้ยกเว้นจะแฟลชรอมใหม่เท่านั้น