Shellshock
CVE-2014-6271 w Bashu. Specjalnie spreparowana zmienna środowiskowa zaczynająca się od () { :;}; → bash wykonuje dowolne polecenia po definicji funkcji. Skrypty CGI przekazujące nagłówki HTTP do środowiska = RCE.
Wrzesień 2014, kilka miesięcy po Heartbleedzie. Błąd tkwił w Bashu od 25 lat. Serwery CGI (cPanel, wiele starszych stosów PHP) były masowo podatne. Apache mod_cgi → nagłówek User-Agent stawał się zmienną środowiskową → exploit. Szybka łatka, bash 4.3-25, naprawiła główny problem, ale w ciągu następnego miesiąca pojawiło się pięć kolejnych CVE (seria Aftershock — niepełna poprawka). Długofalowy skutek: pokazał, że zapomniane, niełatane oprogramowanie legacy bywa zagrożeniem egzystencjalnym. Nowoczesne kontenery i niezmienna infrastruktura ograniczają ataki klasy Shellshock: mniej powierzchni do wstrzykiwania przez zmienne środowiskowe.