Log4j (Log4Shell): cos'era, e c'è ancora da preoccuparsi?

Cos'era Log4j, e cos'era Log4Shell

Log4j non è un programma che hai installato tu, e non lo trovi da nessuna parte sul telefono o sul computer. È una libreria: un pezzo di codice già scritto che chi programma in Java (un linguaggio di programmazione fra i più usati al mondo) richiama invece di scriverselo da solo. Il compito di Log4j è semplice: tenere un diario di quello che il programma fa, il cosiddetto log.

A dicembre 2021 si è saputo pubblicamente che quel diario aveva un difetto gravissimo, diventato famoso come Log4Shell (nome tecnico: CVE-2021-44228, il codice con cui gli esperti identificano ogni vulnerabilità). Bastava far scrivere al programma, nel suo diario, una riga di testo preparata ad arte: leggendola, il programma andava a cercare ed eseguire del codice da un computer esterno controllato da chi aveva scritto quella riga. Chi riusciva a far comparire quella riga nel log, in pratica, prendeva il controllo del server.

Perché fece così tanto rumore

Per tre motivi insieme, che raramente si trovano tutti nella stessa falla.

Primo, la gravità: gli esperti di sicurezza usano una scala standard da 0 a 10 per misurare quanto è seria una falla (si chiama CVSS). Log4Shell ha preso 10 su 10, il massimo possibile.

Secondo, come si sfruttava: da remoto, cioè da chiunque avesse accesso a internet, senza bisogno di nessuna password o account.

Terzo, e questo è quello che l'ha reso un caso enorme: Log4j era (ed è ancora) incorporato in migliaia di programmi diversi usati da aziende, enti pubblici e servizi online in tutto il mondo — spesso senza che chi li gestiva lo sapesse nemmeno, perché Log4j arriva quasi sempre come pezzo nascosto dentro un altro programma, non come qualcosa che si installa di proposito.

Chi doveva preoccuparsi (e chi no)

La falla riguardava chi gestisce un server, un sito o un'applicazione scritta in Java — non chi la usa da semplice utente.

Oggi: acqua passata, ma qualcosa rispunta ancora

Per chi gestiva un sistema vulnerabile, il problema di Log4Shell si è chiuso aggiornando Log4j: la correzione era già pronta quando la falla è diventata pubblica, a dicembre 2021, e basta la 2.17.1 per chiudere Log4Shell. Per chi ha aggiornato a quella versione o a una successiva, Log4Shell è storia chiusa — ma Apache continua a correggere Log4j per altri difetti, meno gravi, trovati più di recente: oggi conviene usare l'ultima versione disponibile della serie 2.x, non fermarsi alla 2.17.1.

Quello che continua, anni dopo, è un altro fenomeno: vecchie copie della libreria, nascoste dentro programmi più grandi, che nessuno ha mai aggiornato. Ad aprile 2025 (reso noto a novembre 2025) un gruppo di attaccanti legato alla Cina scansionava ancora internet cercando anche questa falla, insieme ad altre vecchie, contro un'organizzazione statunitense — senza prove che in quel caso l'attacco sia poi riuscito proprio tramite Log4j. A marzo 2026 SAP ha dovuto correggere, in un suo modulo, una falla critica causata da una copia di Log4j vecchia e mai aggiornata (una versione diversa, la serie 1.x, non quella di Log4Shell).

Se non gestisci un server o un'applicazione scritta in Java, Log4j non è quasi mai stata, e non è oggi, una cosa che riguarda il tuo telefono o il tuo computer — l'eccezione nota è raccontata nella tabella sopra.