Log4Shell
2021年披露的Apache Log4j日志库中的严重远程代码执行漏洞，影响全球数百万系统，暴露了开源关键基础组件长期维护资源不足的结构性问题
核心事实
时间轴 (近 90 天)
自我更新的进程会在运行时主动从远端拉取新代码并执行，若更新路径被劫持或上游被投毒，本地环境会在无人工审核的情况下执行不受信任的代码，属于软件供应链风险的高发点。
软件供应链安全近年来因Log4Shell、SolarWinds等重大事件而获得广泛关注
Plugin4Shell 的命名让人联想到此前的 Log4Shell 漏洞，暗示其可能与插件加载机制或注入链条有关
2021年发生SolarWinds事件，2022年发生Log4j漏洞事件，让行业认识到供应链风险的严重性
2021年的Log4Shell漏洞影响了全球数百万应用
美国白宫在SolarWinds事件和Log4Shell漏洞后发布行政命令EO 14028，要求软件供应商提供SBOM（软件物料清单）
CVE编号格式为CVE-YYYY-NNNNN,其中CVE-2021-44228即著名的Log4Shell漏洞
Log4Shell 漏洞源于一个由志愿者维护的日志库，影响了全球数十亿设备
Log4Shell漏洞（CVE-2021-44228）被安全研究人员评为CVSS满分10.0，利用门槛极低，仅需在日志中注入一段JNDI查询字符串
全部知识事实 (14)
2021年的Log4Shell漏洞影响了全球数百万Java应用
75%已验证Log4Shell（CVE-2021-44228）的CVSS评分为满分10.0
75%已验证Log4j漏洞于2021年被发现，编号为CVE-2021-44228，是一个远程代码执行漏洞，影响这个被广泛使用的Java日志库
70%已验证2021年发生了Log4Shell漏洞事件
70%待验证自我更新的进程会在运行时主动从远端拉取新代码并执行，若更新路径被劫持或上游被投毒，本地环境会在无人工审核的情况下执行不受信任的代码，属于软件供应链风险的高发点。
50%待验证软件供应链安全近年来因Log4Shell、SolarWinds等重大事件而获得广泛关注
50%待验证Plugin4Shell 的命名让人联想到此前的 Log4Shell 漏洞，暗示其可能与插件加载机制或注入链条有关
50%待验证美国白宫在SolarWinds事件和Log4Shell漏洞后发布行政命令EO 14028，要求软件供应商提供SBOM（软件物料清单）
50%待验证CVE编号格式为CVE-YYYY-NNNNN,其中CVE-2021-44228即著名的Log4Shell漏洞
50%待验证Log4Shell漏洞（CVE-2021-44228）被安全研究人员评为CVSS满分10.0，利用门槛极低，仅需在日志中注入一段JNDI查询字符串
50%待验证Log4j漏洞（CVE-2021-44228）允许攻击者通过特制字符串触发JNDI查找实现无需认证的远程代码执行
50%待验证2021年发生SolarWinds事件，2022年发生Log4j漏洞事件，让行业认识到供应链风险的严重性
50%待验证2021年的Log4Shell漏洞影响了全球数百万应用
50%待验证Log4Shell 漏洞源于一个由志愿者维护的日志库，影响了全球数十亿设备
50%