De situatie rond de Log4j-kwetsbaarheid is nog altijd zorgelijk, aldus de Duitse overheid, die wegens het beveiligingslek code rood blijft aanhouden. Volgens het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, is het nog altijd onduidelijk welke producten allemaal kwetsbaar zijn. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) houdt op GitHub een overzicht bij.

Het beveiligingslek in Log4j wordt op dit moment door aanvallers gebruikt voor het installeren van cryptominers, waarmee cryptovaluta is te delven, en worden systemen onderdeel van een botnet gemaakt voor het uitvoeren van ddos-aanvallen. Daarnaast zijn er ook enkele ransomware-aanvallen waargenomen. Het BSI waarschuwt dat grootschalig misbruik van de kwetsbaarheid en aanvullende cyberaanvallen te verwachten zijn. Deze aanvallen kunnen de komende weken en maanden plaatsvinden, waarbij aanvallers gebruikmaken van de toegang die ze nu al via het Log4j-lek hebben verkregen.

Organisaties moeten dan ook de aanbevolen maatregelen volgen, zoals het installeren van beveiligingsupdates, aldus de Duitse overheidsinstantie. Die stelt verder dat eindgebruikers minder risico lopen, omdat Log4j niet zoveel wordt gebruikt op thuisapparatuur. Individuele applicaties en IoT-apparaten zouden echter wel kwetsbaar kunnen zijn. In dit geval zijn gebruikers echter afhankelijk van hun leverancier voor updates en zijn de nu verschenen mitigatiemaatregelen alleen toepasbaar door ervaren gebruikers, aldus het BSI.