Theo AP, Log4Shell được tìm thấy trong file log4j, tập tin ghi lại nhật ký hoạt động (log) của các ứng dụng thường dùng để truy vết lỗi. Đến nay, hầu hết các hệ thống bảo mật đều có một file nhật ký như vậy. Log4j nằm trong phần mềm mã nguồn mở do Apache phát hành.
Các chuyên gia khuyến cáo, thông qua lỗ hổng, kẻ tấn công có thể truy cập vào máy chủ web mà không cần mật khẩu. Hacker sau đó có thể thâm nhập vào các mạng nội bộ, đánh cắp dữ liệu có giá trị, cài đặt phần mềm độc hại, xóa thông tin quan trọng...
Log4j được sử dụng trên hàng loạt máy chủ khắp thế giới. Nhóm ứng cứu khẩn cấp máy tính của New Zealand là một trong những tổ chức đầu tiên phát hiện ra lỗ hổng Log4Shell. Theo nhóm này, lỗ hổng lần đầu được phát hiện ngày 24/11 trên hệ thống của Alibaba. Phải mất 2 tuần, công ty thương mại điện tử này mới sửa lỗi thành công.
Minecraft - trò chơi phổ biến của Microsoft - cũng là một trong số những "nạn nhân" của Log4Shell. Đại diện Microsoft sau đó khẳng định người dùng vẫn được bảo vệ và tập đoàn phần mềm Mỹ cũng đã phát hành bản cập nhật cho trò chơi.
Amit Yoran, CEO công ty an ninh mạng Tenable, đánh giá Log4Shell là "lỗ hổng bảo mật lớn nhất, nghiêm trọng nhất thập kỷ qua". Trong khi đó, tổ chức giám sát sự phát triển của phần mềm Apache Software Foundation xếp hạng lỗ hổng 10/10 điểm, tức ở mức nguy hiểm nhất.
"Internet đang 'bùng cháy' ngay lúc này. Các bên đang nỗ lực vá Log4Shell, và cũng có những nhóm tích cực khai thác lỗ hổng", Adam Meyers, Phó chủ tịch công ty an ninh mạng Crowdstrike, nói.
Apache đã cập nhật log4j. Thiệt hại liên quan đến Log4Shell chưa được công bố. "Hàng triệu máy chủ có thể chứa lỗ hổng Log4Shell. Thiệt hại có thể được phơi bày trong vài ngày tới", Joe Sullivan, Giám đốc an ninh của Cloudflare, cho biết.
Sullivan xác nhận có dấu hiệu cho thấy máy chủ công ty bị xâm phạm. Trong khi đó, các bên cũng được cho là bị ảnh hưởng như Apple, Amazon và Twitter chưa đưa ra bình luận.
Đây không phải là lần đầu tiên một phần mềm mã nguồn mở gây ra nguy cơ đáng kể về bảo mật trên quy mô toàn cầu.
Năm 2014, người dùng Internet khắp thế giới đã được khuyến nghị đổi nhiều mật khẩu sau khi một lỗ hổng tên Heartbleed được phát hiện trong OpenSSL, một thư viện phần mềm được sử dụng rộng rãi trong các máy chủ Internet.
