Java et Log4Shell : pourquoi CVE-2021-44228 reste la faille de reference

Pourquoi cette faille compte encore en 2026

Quand on demande quel est le CVE le plus dangereux associe a Java, CVE-2021-44228 revient presque toujours en tete. Ce n est pas parce que Java serait un langage intrinsèquement dangereux. C est parce que l ecosysteme Java enterprise depend de composants tres reutilises, tres integres, et parfois invisibles dans la chaine logicielle.

Log4Shell a touche Apache Log4j, une bibliotheque de journalisation presente dans un nombre enorme d applications et de produits. La page officielle de securite Apache la classe toujours comme une faille critique avec un score CVSS 10.0.

Ce qui rendait CVE-2021-44228 si grave

Le point cle est simple : un attaquant capable de controler une chaine de texte journalisee pouvait declencher des resolutions JNDI vers des serveurs distants. Dans les cas vulnerables, cela ouvrait la voie a l execution de code arbitraire.

Apache indique officiellement que les versions vulnerables de log4j-core etaient les branches 2.x jusqu aux versions corrigees 2.15.0, 2.12.2 ou 2.3.1 selon la version de Java.

Cette faille etait particulierement dangereuse pour quatre raisons :

Pourquoi c est un sujet d architecture, pas seulement de patch

Log4Shell a surtout montre un probleme de gouvernance technique. Beaucoup d equipes connaissaient leur application, mais pas leur composition logicielle complete. Or, dans l ecosysteme Java, les frameworks, starters, serveurs d application et produits tiers embarquent facilement des bibliotheques profondes dans la pile.

Autrement dit, le risque ne venait pas du mot-cle Java. Il venait du fait qu un composant central etait partout.

Ce que les equipes Java doivent retenir

En 2026, la lecon utile n est pas seulement mettez Log4j a jour. Elle est plus large.

Premier point : gardez un inventaire de dependances defendable, y compris transitive.

Deuxieme point : distinguez le code applicatif que vous maitrisez et les produits Java tiers que vous exposez sur Internet. Les produits oublies ou rarement mis a jour restent souvent les plus risqués.

Troisieme point : ne supposez pas qu une bibliotheque de support est sans impact parce qu elle ne gere ni paiement ni authentification. Une bibliotheque de logging peut devenir une porte d entree majeure.

Notre lecture

Si vous devez citer une faille symbole pour Java, CVE-2021-44228 reste la meilleure reference. Non parce qu elle resume tout Java, mais parce qu elle illustre tres bien le vrai risque de cet ecosysteme : la dependance massive a des composants communs, parfois profonds, parfois mal inventories.

Pour une entreprise, la bonne question n est donc pas est-ce que Java est dangereux. La bonne question est plutot : quels composants Java utilisons-nous vraiment, lesquels sont exposes, et a quelle vitesse pouvons-nous prouver qu ils sont corriges ?