Log4j : Près de 4 000 organisations toujours vulnérables deux ans après

Près de 4 000 entreprises dans le monde entier sont encore vulnérables aux exploits Log4j, deux ans après l’attaque dévastatrice, selon une nouvelle étude. L’analyse de Veracode a révélé 38 278 applications uniques fonctionnant sous Log4j versions 1.1 à 3.0.0-alpha1, réparties sur 3 866 organisations différentes. Parmi les iterations Log4j exposées, 2,8 % des applications utilisaient des versions contenant la vulnérabilité Log4Shell d’origine, qui a entraîné près d’un million de tentatives d’exploitation dans les trois premiers jours après sa divulgation, le 9 décembre 2021. 3,8 % des applications étaient en cours d’exécution sous Log4j 2.17.0, qui a été patché pour éliminer l’exploit Log4Shell, mais contient toujours la vulnérabilité permettant aux attaquants de déployer des exploits de contrôle à distance (RCE), a-t-on découvert dans l’étude. Veracode a émis l’hypothèse que la prévalence des applications exposées sous 2.17.0 est due au fait que les équipes ont rapidement réagi pour corriger la vulnérabilité Log4Shell initiale, mais ont échoué à rester vigilantes et à patcher leur logiciel par la suite.