シェルショック（Shellshock）は2014年9月に公表された、Bashについての一群の脆弱性（CVE-2014-6271
等）。
Bashは広く使用されており、シェルショックを利用して攻撃者は遠隔から任意のコマンドを実行でき、かつその攻撃実行が極めて容易であったため、影響は極めて深刻であった 。
2014年9月12日、発見者のStéphane Chazelasは、Bashのメンテナー（保守者）であるシェト・ラメイに連絡し、セキュリティ専門家と共に修正プログラムも開発した 。
後日、関連する他の脆弱性（CVE-2014-7169
等）も発見された 。
背景 Bashは、様々なUnixベースのシステムにおいてコマンドラインやコマンドスクリプトを実行するプログラムとして使われている。 典型的な用例として、Linuxで動作しているWebサーバのCGIスクリプトの処理をbashが担っているケース、OpenSSHサーバがもつForceCommand機能に処理させるケース等が挙げられる。
最初に登録された3つの脆弱性のうち、主要なもの（CVE-2014-6271）は、Bashシェルにある環境変数で関数を定義できる機能に起因して、悪意あるコマンドを注入できてしまうものであった。
2014年9月24日、当初の主要な脆弱性（CVE-2014-6271）を解消するために修正プログラムが用意されたが、これでは想定されるすべての脅威に対応できていないことが判明して、同日に別の脆弱性（CVE-2014-7169）として登録された。
2014年9月25日、関連する脆弱性が2つ（CVE-2014-7186とCVE-2014-7187）追加登録され、翌2014年9月26日、これらがサービス不能に陥る脆弱性であることが公表された。
2014年9月27日、それまで内容が公表されていなかった当初からの2つの脆弱性（CVE-2014-6277とCVE-2014-6278）について、それぞれの概要が公表された。
攻撃の報告 2014年9月25日までに、この脆弱性を攻略したコンピュータから成るボットネットが攻撃者によって使われていた 。 これは、いわゆるゼロデイ攻撃の状況になっていたことを意味する。
2014年9月26日、シェルショック関連のボットネット「wopbot」が報告された。これは、アカマイ・テクノロジーズに対してDDoS攻撃を放ち、アメリカ国防総省を探査（スキャン）するために使われていた 。
2014年11月4日、トレンドマイクロは、SMTP（メール）サーバ上のBashを攻略してIRCボットをロードする攻撃を確認したと報告した 。
2014年下半期には、IBMのTokyo SOCは、公開サーバに対する攻撃の動向として「当初は大量の調査行為が行われていたが、その後の攻撃動向の調査により、サーバに対してDDoSやスパムを行うボットプログラムを埋め込もうとする試みが確認された」
という。
2015年2月25日、警察庁（@police）は、この脆弱性の有無を調査したり攻略しようとするアクセスの急増を観測し、注意を呼びかけた 。
脚注
外部リンク JPCERT/CC 「GNU bash の脆弱性に関する注意喚起」 (2014-09-25) CVE（Common Vulnerabilities and Exposures） CVE-2014-6271 (2014-09-09）当初の主要な脆弱性（コマンド注入される脆弱性） CVE-2014-6277 (2014-09-09) （サービス不能に陥る脆弱性） CVE-2014-6278 (2014-09-09) （コマンド注入される脆弱性） CVE-2014-7169 (2014-09-24) 当初の脆弱性の修正プログラムが未対応の脆弱性（コマンド注入される脆弱性） CVE-2014-7186 (2014-09-25) （サービス不能に陥る脆弱性） CVE-2014-7187 (2014-09-25) （サービス不能に陥る脆弱性） GNUプロジェクト Bashソースコード (2014-09-28) (includes patches for known vulnerabilities) Collection of attacks seen in the wild at SANS Institute (2014-09-29)