Javaのログライブラリ「Log4j」に発見された、近年最大級の脆弱性。 Apple・Amazon・Twitterなど世界中のサービスに影響を与えた。
Log4ShellはJavaの広く使われているログライブラリ「Apache Log4j 2」に存在したRCE（リモートコード実行）脆弱性です。 攻撃者は特殊な文字列をログに記録させるだけで、対象サーバー上で任意のコードを実行できました。 CVSSスコアは最大値の10.0で、影響を受けたシステムは数億台とも言われています。
Log4jにはJNDI（Java Naming and Directory Interface）という機能があり、 ログメッセージ内の特定の文字列を解釈して外部リソースを取得する機能がありました。
この文字列がログに記録されると、Log4jは攻撃者のサーバーに接続し、 悪意のあるJavaクラスをダウンロード・実行してしまいます。 ユーザーエージェントやメールアドレスなど、ログに記録されるあらゆる入力が攻撃経路になりました。