Shellshock
BashのCVE-2014-6271。() { :;};で始まる細工した環境変数を渡すと、関数定義の後ろに書いた任意のコマンドをbashが実行してしまう。HTTPヘッダーを環境変数に渡すCGIスクリプトはRCEに直結した。
Heartbleedから数か月後の2014年9月に公表された。このバグは25年間Bashに潜んでいた。cPanelや多くの古いPHP環境といったCGIサーバーが大規模に影響を受け、Apacheのmod_cgiではUser-Agentヘッダーが環境変数になり、そのまま攻撃経路になった。bash 4.3-25で主たる問題は修正されたものの、その後1か月で追加のCVEが5件続いた（修正が不完全だったためで、Aftershockと呼ばれる）。長期的な教訓は、保守されない古いソフトウェアの稼働が致命的なリスクになりうるということだ。現代のコンテナとイミュータブルインフラは、環境変数注入型の攻撃面を減らしている。