# Log4Shell em 2021: a falha no Log4j que expôs a cadeia de dependências do software — Citeo > Em 10 de dezembro de 2021 foi divulgada a CVE-2021-44228, ou Log4Shell, falha de execução remota de código com nota máxima (10) na biblioteca Java Log4j. E... Fonte: https://citeo.com.br/artigo/2021-log4shell-vulnerabilidade-log4j-cadeia-de-software · Atualizado em 21/10/2026 [Início](https://citeo.com.br) [Insights](https://citeo.com.br/blog) [Segurança](https://citeo.com.br/blog/seguranca) Retrospectiva 2021 · Segurança# Log4Shell em 2021: a falha no Log4j que expôs a cadeia de dependências do software **Redação Citeo** Publicado em 31/12/2021 Revisado em 17/10/2026 **Período analisado: 2021** 3 min de leitura Resposta rápidaEm 10 de dezembro de 2021 foi divulgada a CVE-2021-44228, ou Log4Shell, falha de execução remota de código com nota máxima (10) na biblioteca Java Log4j. Ela afetava as versões 2.0-beta9 a 2.14.1 e obrigou empresas a descobrir onde a biblioteca estava escondida em seus sistemas. A Log4Shell foi a vulnerabilidade CVE-2021-44228, divulgada em 10 de dezembro de 2021 na Log4j, biblioteca de registro de eventos (logs) da Apache amplamente usada em produtos e serviços escritos em Java. A falha permitia execução remota de código, recebeu nota 10 de 10 na escala CVSS e afetava todas as versões de 2.0-beta9 a 2.14.1. O episódio marcou o fim de 2021 porque obrigou empresas de todos os portes a responder uma pergunta difícil: em quais sistemas, nossos ou de fornecedores, essa biblioteca estava presente? ## O que tornava a Log4Shell tão grave? Segundo o laboratório da ESET, a vulnerabilidade permitia que um atacante executasse código arbitrário em um servidor afetado sem acesso físico. Se o invasor alcançasse a rede local, sistemas internos também podiam ser explorados, mesmo sem exposição direta à internet. Três fatores ampliaram o problema: - **Onipresença**: a Log4j é usada por grande número de produtos, serviços e componentes Java. - **Dependências transitivas**: a biblioteca frequentemente vinha embutida dentro de outros pacotes (arquivos JAR), sem que a equipe soubesse que a usava. - **Exploração rápida**: o primeiro uso malicioso conhecido foi detectado em 1º de dezembro de 2021, antes da divulgação pública, e logo depois atacantes passaram a varrer a internet em busca de sistemas vulneráveis. ## Quais versões foram afetadas e qual era a correção? ItemSituação descrita em dezembro de 2021IdentificadorCVE-2021-44228 (Log4Shell)GravidadeCVSS 10 de 10Tipo de falhaExecução remota de códigoVersões afetadasLog4j 2.0-beta9 a 2.14.1Não afetado por esta falhaBiblioteca log4j-api; Log4j 1.x (que tem outras vulnerabilidades)Correção inicialLog4j 2.15.0 A ESET relatou centenas de milhares de tentativas de exploração bloqueadas nos primeiros dias, principalmente nos Estados Unidos, Reino Unido, Turquia, Alemanha e Países Baixos. ## O que as empresas foram orientadas a fazer? As recomendações publicadas na época seguiam uma lógica de inventário e priorização: 1. montar uma lista priorizada de sistemas e verificar cada um em busca de versões vulneráveis, incluindo dependências dentro de arquivos JAR; 2. procurar o arquivo JndiLookup.class e analisar logs em busca de padrões de exploração; 3. registrar os resultados das varreduras para formar uma trilha de auditoria; 4. atualizar para a Log4j 2.15.0 e planejar a migração de versões 1.x; 5. bloquear endereços IP sabidamente suspeitos no firewall ou no sistema de prevenção de intrusão. ## A falha continuou relevante depois de 2021? Sim. Relatório da Fortinet sobre o primeiro semestre de 2022, noticiado pelo Canaltech, apontou que, excluindo o ransomware, a Log4Shell foi a vulnerabilidade mais explorada na América Latina naquele período e seguia como porta de entrada para ataques a organizações no mundo todo. Ou seja, meses depois da correção, muitos sistemas continuavam sem atualização. ## O que isso significa hoje para quem contrata? A Log4Shell popularizou, fora dos círculos técnicos, a importância de saber do que um software é feito. Para quem contrata desenvolvimento ou compra sistemas prontos, isso se traduz em perguntas práticas: - o fornecedor mantém inventário das bibliotecas de terceiros usadas, inclusive as indiretas? - existe processo para monitorar vulnerabilidades e aplicar correções em prazo definido? - o contrato prevê quem é responsável por atualizar dependências depois da entrega? Essas práticas fazem parte do que se convencionou chamar de DevSecOps, a integração da segurança ao ciclo de desenvolvimento. Fornecedores podem ser comparados nas categorias de [software](/empresas/software) e [cibersegurança](/empresas/cyber). ## Fontes - [WeLiveSecurity (ESET): O que se sabe até agora sobre a vulnerabilidade Log4Shell (14/12/2021)](https://www.welivesecurity.com/br/2021/12/14/o-que-se-sabe-ate-agora-sobre-a-vulnerabilidade-log4shell/) - [Canaltech: Brasil é o segundo país que mais sofre ataques cibernéticos na América Latina](https://canaltech.com.br/seguranca/brasil-e-o-segundo-pais-que-mais-sofre-ataques-ciberneticos-na-america-latina-223428/) **Encontre software houses verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://citeo.com.br/empresas/software) [Comparar empresas lado a lado](https://citeo.com.br/comparar) ## Perguntas frequentes ### O que é a Log4j? É uma biblioteca de registro de eventos (logs) mantida pela Apache e usada em grande número de aplicações Java. Ela registra o que acontece em um sistema, o que a torna presente em muitos produtos. ### Qual era a nota de gravidade da Log4Shell? A CVE-2021-44228 recebeu nota 10 de 10 na escala CVSS, a gravidade máxima, por permitir execução remota de código. ### Atualizar para a versão 2.15.0 resolvia o problema? Em dezembro de 2021, a versão 2.15.0 foi a correção inicial indicada para a CVE-2021-44228. A orientação também incluía inventariar sistemas, procurar dependências embutidas e planejar a saída de versões 1.x. ## Leia também [](https://citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura