Vlákno názorů k článku
Log4j 2.15.0 a 1.x jsou stále zranitelné, aktualizujte na 2.16.0 od Filip Jirsák - Protože 1.x se již nevyvíjí, tak na verzi...

Protože 1.x se již nevyvíjí, tak na verzi 2.16.0.
Log4j 2 nemá API kompatibilní s Log4j 1.x, musí se použít můstek – nestačí jen povýšit verzi Log4j a překompilovat projekt. Případně se používá kombinace API Commons Logging a Log4j 1.x jako implementace. V obou případech je možné pomocí můstku použít také API slf4j a implementaci Logback, které jsou modernější než Log4j 1.x. Log4j 2 se sice snaží být modernější než Logback, nicméně se zdá, že to autoři přehnali s tím, co všechno by měla logovací knihovna dělat. Čehož důsledkem je ta první slavná chyba Log4Shell s hodnocením deset z deseti.

Takže pokud někdo teprve teď řeší přechod z Log4j 1.x, já osobně bych doporučil slf4j, k němu můstek z Apache Commons Logging jcl-over-slf4j nebo můstek z Log4j 1.x log4j-over-slf4j (podle toho, které API používáte) a Logback jako implementaci.

Přesně tak. Díky za zprávu. Přechod z 1.x na 2.x je peklo a rozhodně to není lusknutím prstu. Vaše řešení jsem udělal úplně stejně. Verze 2 má hromady jiných problémů a je to cesta kudy není dobré kráčet.
To ohrožení u 1.x není tak zásadní a s danou chybou úplně nesouvisí.

Log4j 2 má samozřejmě ten bridge pro log4j 1 taky log4j-1.2-api. Navíc pak můžete používat lepší log4j-api (2), které je mnohem lepší než zastaralé slf4j. Pokud se vám nelíbí log4-core, který brzy bude pěkně prozkoumán a ověřený ze všech stran, že neobsahuje nějaké zranitelnosti, tak s log4-api může použít bridge do slf4j a použít cokoliv.

Pokud se vám nelíbí log4-core, který brzy bude pěkně prozkoumán a ověřený ze všech stran, že neobsahuje nějaké zranitelnosti
To se stane teprve s dalším velkým přepisem Log4j na verzi 3.