さまざまな企業でApache Log4jが広く利用されていることから、Log4Shellは極めて危険な脆弱性だと専門家はみる。共通脆弱性評価システム「CVSS」（Common Vulnerability Scoring System）はLog4Shellの深刻度を、「緊急」に相当するスコア「10.0」と評価している。

　セキュリティベンダーCloudflareのマシュー・プリンスCEO（最高経営責任者）は、Log4Shellの存在が公表される前から、この脆弱性が攻撃に悪用されていたことを確認したと言う。同氏によれば、Cloudflareが最初に発見したLog4Shell関連の攻撃は2021年12月1日の午前4時36分50秒（協定世界時）だった。ただし公表前の大規模な攻撃は確認していないとプリンス氏は説明する。

　Log4Shellが広く知られるようになったのは、ハンドルネーム「p0rz9」を使った匿名のセキュリティ研究者が短文投稿サイト「Twitter」で、攻撃の概念実証（PoC）コードへのリンクを共有したことがきっかけだ。その後、Cloudflareやニュージーランドのセキュリティ専門家部隊が、Log4Shellを悪用した攻撃を報告した。

　Apache Software Foundationは米TechTargetに対し、Log4Shellを巡る動きの時系列（全て米国時間）を次のように説明した。同団体によると、最初にLog4Shellの報告を受けたのは2021年11月24日だった。

• 2021年11月24日：Log4Shellの存在の報告を受ける
• 2021年11月25日：Log4ShellのCVE（共通脆弱性識別子）を確保し、解決策を調査する
• 2021年11月26日と2021年11月29日：報告者と話をする
• 2021年12月4日と2021年12月5日：Apache Log4jの変更が確定する
• 2021年12月7日：Apache Log4jの修正版のドラフトを用意する
• 2021年12月8日：改めて報告者と話をした上、防御策を追加し、修正内容を確定させる
• 2021年12月9日：Apache Log4jの修正版を公開する

Cisco Systemsも公表前からの攻撃を発見

　Log4Shellを悪用した攻撃活動を、Cisco Systemsは2021年12月2日に見つけていたという。Cisco Systems傘下のセキュリティベンダー、Kenna Securityは同社の脆弱性評価システムにおいてLog4Shellの深刻度を100点中93点と評価している。同システムで93点以上が付けられた脆弱性は1％未満だとKenna Securityは説明する。

　Cisco Systemsでサイバー脅威のシニア研究員を務めるビトール・ベンチュラ氏はLog4Shellについて「簡単に不正のコード実行を可能にするので、『最悪』に近い脆弱性だ」と述べる。Apache Log4jが企業のシステムで多岐にわたって利用されているため、企業はシステム全体を対象に防御策を講じる必要があるとベンチュラ氏はみる。