Shellshock là tên phổ biến cho một lỗ hổng lập trình (coding vulnerability) tìm thấy trong giao diện người dùng shell Bash, ảnh hưởng đến hệ điều hành dựa trên Unix, bao gồm Linux và Mac OS X, và cho phép kẻ tấn công (attackers) từ xa giành quyền kiểm soát hoàn toàn (complete control) một hệ thống.
Được khám phá bởi Stéphane Chazelas vào tháng 9 năm 2014, lỗ hổng này, còn gọi là CVE-2014-6271 và CVE-2014-7169, đã tồn tại hơn 20 năm. Shellshock hiện diện trong mọi phiên bản shell lên đến 4.3.
Lỗi Shellshock có thể bị khai thác (exploited) mà không cần bất kỳ xác thực (authentication) nào bằng cách thêm mã độc tùy ý (arbitrary malicious code) vào cuối một hàm Bash được chế tác đặc biệt (specifically crafted Bash function). Kỹ thuật này có thể cho phép kẻ tấn công获得 quyền truy cập dòng lệnh (command-line access) vào hệ thống, thường dẫn đến quyền truy cập không giới hạn để chạy chương trình, lọc bộ nhớ tìm dữ liệu nhạy cảm, hoặc tạo điều kiện cho worm tự lan truyền (self-propagating worm).
Hầu hết nhà cung cấp server và hệ điều hành bị ảnh hưởng đã phát hành bản cập nhật phần mềm khắc phục lỗ hổng Shellshock. Có nhiều công cụ tồn tại để kiểm tra xem hệ thống có bị ảnh hưởng bởi Shellshock hay bản vá (patch) đã giải quyết thành công vấn đề. Tổ chức nên dùng kỹ thuật giám sát log (log monitoring) để phát hiện bằng chứng cố gắng khai thác Shellshock; payload (tải trọng) như vậy được gửi qua URL hoặc HTTP header, do đó sẽ để lại dấu vết.
Cơ sở dữ liệu Lỗ hổng Quốc gia (National Vulnerability Database) của US-CERT đánh giá mức độ nghiêm trọng của lỗ hổng là 10.0. Nó đã được so sánh với lỗ hổng Heartbleed chủ yếu vì mức độ nghiêm trọng này.