Shellshock
CVE-2014-6271 in Bash: una variabile d'ambiente costruita ad arte che inizia con () { :;}; fa eseguire a bash comandi arbitrari dopo la definizione della funzione. Gli script CGI che passano gli header HTTP all'ambiente diventano così un'esecuzione di codice remota.
Settembre 2014, pochi mesi dopo Heartbleed. Il bug era presente in Bash da 25 anni. I server CGI (cPanel, molti stack PHP legacy) erano vulnerabilissimi: con Apache mod_cgi l'header User-Agent diventava una variabile d'ambiente, e l'exploit era servito. La prima patch (bash 4.3-25) risolveva il problema principale, ma nel mese successivo seguirono altre cinque CVE (la serie "Aftershock", correzioni incomplete). Eredità duratura: ha mostrato come il software legacy non manutenuto possa essere un rischio esistenziale. Container e infrastrutture immutabili riducono gli attacchi di questo tipo, perché offrono meno superfici per l'iniezione tramite variabili d'ambiente.