Shellshock adalah nama kolektif untuk serangkaian masalah keamanan Linux di bash shell. Bash adalah terminal default di banyak distribusi Linux yang berarti bahwa efek dari bug sangat tersebar luas.
Catatan: Kerentanan tidak mempengaruhi sistem Windows karena Windows tidak menggunakan shell Bash.
Pada bulan September 2014, Stéphane Chazelas, seorang peneliti keamanan, menemukan masalah pertama di Bash dan secara pribadi melaporkannya kepada orang yang mengelola Bash. Dia bekerja dengan pengembang yang bertanggung jawab untuk memelihara Bash dan tambalan dikembangkan yang menyelesaikan masalah. Setelah tambalan dirilis dan tersedia untuk diunduh, sifat bug dirilis ke publik menjelang akhir September.
Dalam beberapa jam setelah pengumuman bug, itu dieksploitasi di alam liar dan dalam sehari sudah ada botnet berdasarkan eksploitasi yang digunakan untuk melakukan serangan dan kerentanan DDOS scan. Meskipun tambalan sudah tersedia, orang tidak dapat menerapkannya dengan cukup cepat untuk menghindari serbuan eksploitasi.
Selama beberapa hari berikutnya, lima kerentanan terkait lainnya telah diidentifikasi. Sekali lagi tambalan dikembangkan dan dirilis dengan cepat tetapi meskipun ada eksploitasi aktif, pembaruannya masih belum harus segera diterapkan atau bahkan tersedia segera dalam semua kasus, yang mengarah ke lebih banyak kompromi mesin.
Kerentanan berasal dari berbagai vektor, termasuk panggilan sistem server web berbasis CGI yang salah ditangani. Server OpenSSH memungkinkan peningkatan hak istimewa dari shell terbatas ke shell tidak terbatas. Server DHCP berbahaya dapat mengeksekusi kode pada klien DHCP yang rentan. Saat memproses pesan, Qmail mengizinkan eksploitasi. Shell terbatas HMC IBM dapat dieksploitasi untuk mendapatkan akses ke shell bash penuh.
Karena sifat bug yang tersebar luas serta keparahan kerentanan dan serbuan eksploitasi, Shellshock sering dibandingkan dengan "Heartbleed". Heartbleed adalah kerentanan di OpenSSL yang membocorkan isi memori tanpa interaksi pengguna.