Een lange tijd onontdekte fout in een bouwsteen van het internet kan ernstige gevolgen hebben voor de cyberveiligheid wereldwijd. Log4J is als suiker. Het zit overal in.

De grootste, meest kritieke software-kwetsbaarheid van het afgelopen decennium. Geen gewone zero day – een onontdekte softwarebug die hackers in staat stelt computers binnen te dringen – maar een clusterbom, die honderden zo niet duizenden beveiligingsgaten heeft geslagen in allerlei computersystemen wereldwijd – ook op plaatsen waar het niet verwacht werd.

Cybersecurityexperts wereldwijd zijn in alle staten over het onschuldig ogende logtooltje Log4J. Wat is er aan de hand?

Log4J is een van de bouwstenen van het internet, maar bleek eind vorige week een ernstige kwetsbaarheid te bevatten. En dat terwijl het erg veel gebruikt wordt in allerlei computerprogramma s. Log4J, de naam zegt het al, vereenvoudigt het registreren (loggen) van handelingen die computerprogramma s geschreven in de programmeertaal Java uitvoert. Het legt zo een naslagwerk aan met technische details. Ontwikkelaars gebruiken die logbestanden om te kijken of hun programma s naar behoren functioneren.

Log4J bleek die handelingen echter niet alleen vast te leggen, maar probeerde ze ook uit te voeren. Door de registraties slim te manipuleren kunnen hackers Log4J hun eigen, kwaadaardige code laten downloaden en uitvoeren. Zo kunnen ze systemen overnemen, gijzelsoftware installeren of gevoelige data stelen. Dat is op zichzelf al genoeg reden tot zorg, maar het probleem met Log4J is venijniger. Niemand weet precies welke programma s en systemen het logtooltje allemaal gebruiken.

Deze versturen we 3-4x per jaar.