Shellshock là tên gọi chung của lỗ hổng mã hóa được tìm thấy trong giao diện người dùng Bash shell ảnh hưởng đến các hệ điều hành dựa trên Unix, bao gồm cả Linux và Mac OS X, đồng thời cho phép kẻ tấn công giành quyền kiểm soát hoàn toàn hệ thống từ xa.
Được phát hiện bởi Stéphane Chazelas vào tháng 9 năm 2014, lỗ hổng bảo mật, còn được gọi là CVE-2014-6271 và CVE-2014-7169, đã tồn tại hơn 20 năm. Shellshock có mặt trong mọi phiên bản của shell lên đến 4.3.
Lỗ hổng Shellshock có thể bị khai thác mà không cần bất kỳ xác thực nào bằng cách thêm mã độc tùy ý vào cuối một hàm Bash được chế tạo cụ thể. Kỹ thuật này có thể cho phép kẻ tấn công có được quyền truy cập dòng lệnh vào hệ thống, điều này thường dẫn đến quyền truy cập không hạn chế để chạy các chương trình, lọc qua bộ nhớ để tìm dữ liệu nhạy cảm hoặc tạo điều kiện cho sâu tự lây lan.
Hầu hết các nhà cung cấp máy chủ và hệ điều hành bị ảnh hưởng đã phát hành bản cập nhật phần mềm sửa lỗ hổng Shellshock. Có rất nhiều công cụ để kiểm tra xem hệ thống có bị ảnh hưởng bởi Shellshock hay không hoặc liệu một bản vá đã giải quyết thành công sự cố hay chưa. Các tổ chức nên sử dụng các kỹ thuật theo dõi nhật ký để phát hiện bằng chứng về việc cố gắng khai thác Shellshock; tải trọng như vậy được phân phối thông qua một URL hoặc tiêu đề HTTP, do đó nó sẽ để lại bằng chứng.
Cơ sở dữ liệu về lỗ hổng bảo mật quốc gia của US-CERT đã đánh giá mức độ nghiêm trọng của lỗ hổng là 10,0. Nó đã được so sánh với lỗ hổng Heartbleed phần lớn vì xếp hạng mức độ nghiêm trọng của nó.