Log4Shell, CVE-2021-44228, es una vulnerabilidad crítica divulgada en diciembre de 2021 en versiones afectadas de Apache Log4j Core. En condiciones vulnerables, procesar datos controlados por un atacante en los registros puede permitir la ejecución remota de código mediante búsquedas JNDI. La mera presencia de Java o de un archivo llamado Log4j no demuestra que sea explotable.
Qué es Log4j
Log4j es un framework de registro de eventos para Java. Puede ser una dependencia directa o estar incluido en otra aplicación, archivo, dispositivo o producto de un proveedor. Por eso hay que evaluar el software desplegado, además de los repositorios propios.
Versiones afectadas y correcciones históricas
Apache detalla las versiones y condiciones afectadas por cada CVE en sus avisos de seguridad. Log4j 1.x no está afectado por este CVE concreto de Log4Shell, pero dejó de tener soporte en 2015 y presenta otros problemas de seguridad.
Las versiones 2.17.1, 2.12.4 y 2.3.2 pertenecen a la secuencia histórica de correcciones de 2021 para distintas ramas de Java. No son una recomendación universal vigente ni una garantía frente a vulnerabilidades posteriores de Log4j. Tras la primera versión 2.15.0 también se publicaron correcciones adicionales para problemas relacionados.
Cómo evaluar la exposición
- Inventaría las aplicaciones y consulta el aviso del fabricante para el producto y compilación concretos.
- Revisa manifiestos de dependencias, análisis de composición de software y paquetes desplegados, incluidos archivos anidados, contenedores y copias integradas.
- Comprueba los componentes y la configuración en ejecución. Corregir la dependencia principal no demuestra que se hayan sustituido todas las copias desplegadas.
- Utiliza métodos autorizados y controlados. Las pruebas que provocan conexiones de retorno pueden revelar información o afectar al servicio: acuerda primero el alcance y el método.
Corrección
Utiliza una versión de Log4j mantenida y compatible con la aplicación y el entorno Java, o la actualización del producto respaldada por su fabricante. Consulta los avisos de seguridad y la política de mantenimiento de Apache vigentes al desplegar. Revisa las notas de versión, prueba la compatibilidad, alinea los componentes de Log4j y verifica qué versiones están realmente en ejecución después del cambio.
Si Log4j viene integrado en un producto, sigue el procedimiento admitido por su proveedor. Sustituir manualmente un JAR o eliminar una clase puede romper el programa, invalidar el soporte o dejar otra copia sin corregir. Las opciones antiguas de la JVM y las instrucciones de eliminación de clases dependen de la versión: son medidas de emergencia, no una solución universal.
Las restricciones de red, supervisión y reglas del WAF pueden reducir la exposición mientras se prepara la actualización. No sustituyen una corrección respaldada ni demuestran que la explotación sea imposible.
Investigación y seguimiento
Busca entradas sospechosas en los registros, conexiones salientes inesperadas y cambios en cuentas, tareas programadas u otros mecanismos de persistencia. Una cadena registrada puede indicar un intento sin demostrar su ejecución; no encontrar un patrón conocido tampoco demuestra que el sistema no se viera afectado. Si hay indicios de compromiso, conserva las evidencias y aplica un proceso de respuesta a incidentes.
Asigna un responsable y un proceso de actualización al software de terceros. Corregir el CVE de 2021 no elimina la necesidad de seguir nuevos avisos y retirar dependencias sin soporte.
Referencias: avisos de seguridad de Apache Logging Services y política de versiones y mantenimiento de Log4j. Revisión técnica: 30 de octubre de 2026.
