Критическая уязвимость Terminal2Shell якобы существует с 1971 года, затрагивает более двух миллиардов устройств и позволяет мгновенно получить командную оболочку. Её оценили в невозможные 11 баллов из 10. За громким предупреждением скрывается насмешка над индустрией кибербезопасности.
Авторы проекта Terminal2Shell, также известного как TermGeddon, представили обычную работу терминала как опаснейшую ошибку проектирования. Согласно описанию, при открытии терминала операционная система запускает командную оболочку и позволяет вводить команды с правами текущего пользователя. Именно такую возможность создатели сайта объявили критической уязвимостью, хотя никакого обхода защиты здесь нет.
Для «эксплуатации» достаточно открыть терминал. Второго шага не предусмотрено, а среди обязательных условий перечислены локальный доступ, исправная клавиатура и умение найти нужную программу. Разработчики шутки утверждают, что команды позволяют удалять файлы, устанавливать приложения и менять настройки. Самое любопытное, что всё перечисленное действительно работает, поскольку терминал именно для подобных задач и предназначен.
На сайте проекта разместили полноценное предупреждение с логотипом, показателями опасности и демонстрацией «эксплойта». Уязвимость якобы используют миллионы разработчиков ежедневно, а исправлений до сих пор нет. Ещё один тревожный показатель составляет 0 миллисекунд до успешной эксплуатации. При этом заявленная оценка 11,0 превышает максимальные 10 баллов, предусмотренные шкалой CVSS.
Список пострадавших систем охватывает практически весь компьютерный мир, включая Windows, Linux и macOS. В качестве признаков компрометации предлагают искать символы $, %, > и # рядом с мигающим курсором. Особую опасность авторы приписывают решётке, которая якобы указывает на захват прав root. В действительности подобные символы обычно служат приглашением командной оболочки и сами по себе не свидетельствуют о взломе.
Рекомендации по защите оказались не менее радикальными. Пользователям предлагают никогда не открывать терминал, печатать медленнее для сокращения числа выполняемых команд и даже отключить клавиатуру. Самым надёжным исправлением назвали установку SHELL=/bin/false, которая лишает пользователя привычной командной оболочки. Авторы отдельно признают, что вместе с «уязвимостью» исчезнет и возможность нормально пользоваться терминалом.
В шуточной хронологии история угрозы начинается с появления Thompson shell в Unix в 1971 году, продолжается выпуском Bourne shell и Bash и заканчивается событиями 2026 года. Разработчики операционных систем якобы ответили исследователям, что описанное поведение и есть назначение терминала. После такого ответа авторы зарегистрировали домен, нарисовали логотип и объявили процесс раскрытия завершённым.
Terminal2Shell не является реальной уязвимостью и не требует обновлений. Проект высмеивает привычку превращать технические проблемы в громкие бренды с собственными названиями, логотипами и устрашающими оценками. У вымышленной угрозы нет подтверждённого идентификатора CVE, а заявленные масштабы атак служат частью шутки. Настоящую опасность определяют технические доказательства, а не эффектная презентация.
