Shellshock
CVE-2014-6271 в Bash. Специально составленная переменная окружения, начинающаяся с () { :;};, заставляет bash выполнять произвольные команды после определения функции. CGI-скрипты, передающие HTTP-заголовки в окружение, — это RCE.
Сентябрь 2014 года, через несколько месяцев после Heartbleed. Баг сидел в Bash 25 лет. Массово уязвимы оказались CGI-серверы (cPanel, множество старых PHP-стеков). Через Apache mod_cgi заголовок User-Agent превращался в переменную окружения — и эксплойт готов. Быстрый патч, bash 4.3-25, закрыл основную проблему, но за следующий месяц последовали ещё пять CVE (серия Aftershock — исправление было неполным). Долгосрочный вывод: заброшенное устаревшее ПО может быть экзистенциальным риском. Современные контейнеры и неизменяемая инфраструктура снижают вероятность атак класса Shellshock: поверхностей для инъекции через переменные окружения становится меньше.