Un site nommé Terminal2Shell annonce une vulnérabilité « critique » dans tous les émulateurs de terminal de macOS, Linux, Windows et BSD, avec un CVSS de 11 sur 10 et sans correctif disponible. Ce n’est pas une faille réelle. Comme l’explique OpenSecurity, la page décrit le fonctionnement normal d’un terminal, qui lance un shell et exécute ce que tape l’utilisateur, et l’habille de tout l’appareil des grandes failles de sécurité : nom, logo, domaine, preuve de concept et chronologie de divulgation.
Les points clés de Terminal2Shell en 20 secondes
- Terminal2Shell est une parodie : pas de CVE, pas de chercheurs identifiés, pas d’avis de fabricants.
- Elle présente comme une vulnérabilité le fait qu’un terminal exécute les commandes de l’utilisateur.
- Elle se moque des failles de marque, comme React2Shell ou Log4Shell.
- Elle n’exige aucune action sur les serveurs ni sur les postes.
Le site a circulé sur des forums techniques comme Lobsters et se lit en deux minutes. Parmi les « produits affectés » figurent gnome-terminal, Konsole, Windows Terminal, iTerm2, le terminal intégré de VS Code, un DEC VT100 de 1978 et le port console du routeur. Seul Microsoft Paint apparaît comme non affecté. Les mesures d’atténuation proposées vont de ne pas ouvrir de terminal à taper plus lentement ou à définir SHELL=/bin/false, ce qui, selon la page elle-même, résout le problème et empêche au passage d’utiliser l’ordinateur.
Contre la vulnérabilité avec logo
La cible de la blague se trouve dans sa FAQ. Les auteurs y disent que toute vulnérabilité sérieuse a besoin d’un logo, d’un domaine et d’un nom formé d’un chiffre et d’un nom commun, et que la panique est la réponse recommandée face à toute faille dotée de son propre site. La chronologie se termine par les chercheurs enregistrant le domaine, dessinant le logo et appelant la presse après que les fabricants leur ont répondu que c’est ce que fait un terminal.
La référence directe est la famille de failles au suffixe « 2Shell ». React2Shell (CVE-2025-55182), divulguée le 3 décembre 2025, était bien une vulnérabilité réelle et grave : exécution de code à distance sans authentification dans les React Server Components, avec un CVSS de 10,0, une exploitation active et une entrée dans le catalogue des vulnérabilités exploitées de la CISA. Son nom rendait hommage à Log4Shell, la faille de Log4j de 2021. Plus récemment, nous avons raconté l’état des correctifs de PHP2Shell dans les distributions et les panneaux. Terminal2Shell soutient, sur le ton de l’humour, que presque toutes les preuves de concept de cette famille commencent par quelqu’un qui ouvre un terminal, et qu’elles en dépendent donc toutes.
Ce que cela laisse aux équipes systèmes
Donner un nom à une faille a des avantages. Depuis Heartbleed en 2014, un nom facile à retenir a permis à la direction et aux équipes techniques de parler du même problème et de prioriser le correctif. L’inconvénient survient lorsque n’importe quelle découverte mineure reçoit le même emballage. Pour qui gère des serveurs, des clouds ou des parcs de conteneurs, la priorité devrait découler de l’avis du fabricant, de l’exposition réelle du système et de l’existence d’une exploitation active, non du fait que la faille a un site et un logo.
La parodie cache aussi une vérité pratique : un terminal exécute avec les permissions de l’utilisateur tout ce qu’il reçoit. C’est pourquoi les vrais risques résident dans le fait de coller des commandes copiées sans les relire, d’exécuter des scripts avec curl | sh ou dans les campagnes qui demandent d’ouvrir PowerShell ou le terminal pour « résoudre » une erreur. Pour Terminal2Shell, il n’y a rien à faire sinon, si elle se glisse dans une source d’alertes, la signaler pour ce qu’elle est. OpenSecurity détaille le site dans son article sur Terminal2Shell.
Questions fréquentes
Terminal2Shell touche-t-il mes serveurs ?
Non. C’est un site satirique qui décrit le fonctionnement normal d’un terminal. Il n’y a ni CVE, ni correctif, ni avis d’aucun fabricant.
Pourquoi est-il devenu populaire ?
Parce qu’il imite dans le détail les sites de vulnérabilités réelles et critique l’habitude d’annoncer des failles avec nom commercial, logo et domaine propre.
React2Shell, lui, était-il réel ?
Oui. CVE-2025-55182 était une vulnérabilité d’exécution de code à distance dans les React Server Components avec un CVSS de 10,0, divulguée le 3 décembre 2025 et corrigée par l’équipe de React.
Sources :
