log4j2-rce

Log4j FilteredObjectInputStream 绕过 无需凭据即可在任何通过 Log4j 的 FilteredObjectInputStream 反序列化 LogEvent 的 Java 服务上实现预认证 RCE。 于 2026 年 8 月 24 日报告为 GitHub issue 4255。 功能说明 Log4j 将 FilteredObjectInputStream（FOIS）作为安全反序列化包装器提供。它通过白名单覆盖 resolveClass，仅允许 org.apache.logging.log4j.、java.lang.、java.util. 以及少数显式类通过...