Una web llamada Terminal2Shell anuncia una vulnerabilidad «crítica» en todos los emuladores de terminal de macOS, Linux, Windows y BSD, con CVSS de 11 sobre 10 y sin parche disponible. No es un fallo real. Como explica OpenSecurity, la página describe el funcionamiento normal de una terminal, que arranca una shell y ejecuta lo que teclea el usuario, y lo viste con todo el aparato de los grandes fallos de seguridad: nombre, logo, dominio, prueba de concepto y cronología de divulgación.
Las claves de Terminal2Shell en 20 segundos
- Terminal2Shell es una parodia: no tiene CVE, investigadores identificados ni avisos de fabricantes.
- Presenta como vulnerabilidad que una terminal ejecute los comandos del usuario.
- Se burla de los fallos con marca, como React2Shell o Log4Shell.
- No requiere ninguna acción en servidores ni equipos.
La web ha circulado por foros técnicos como Lobsters y se lee en dos minutos. Entre los «productos afectados» figuran gnome-terminal, Konsole, Windows Terminal, iTerm2, la terminal integrada de VS Code, un DEC VT100 de 1978 y el puerto de consola del router. Solo Microsoft Paint aparece como no afectado. Las mitigaciones propuestas van de no abrir terminales a teclear más despacio o fijar SHELL=/bin/false, que según la propia página corrige el problema y de paso impide usar el ordenador.
Contra la vulnerabilidad con logo
El objetivo de la broma está en sus preguntas frecuentes. Ahí los autores dicen que toda vulnerabilidad seria necesita un logo, un dominio y un nombre formado por un número y un sustantivo, y que el pánico es la respuesta recomendada ante cualquier fallo con web propia. La cronología termina con los investigadores registrando el dominio, diseñando el logo y llamando a la prensa después de que los fabricantes les respondieran que eso es lo que hace una terminal.
La referencia directa es la familia de fallos con sufijo «2Shell». React2Shell (CVE-2025-55182), divulgado el 3 de diciembre de 2025, sí fue una vulnerabilidad real y grave: ejecución remota de código sin autenticación en React Server Components, con CVSS 10,0, explotación activa y entrada en el catálogo de vulnerabilidades explotadas de CISA. Su nombre homenajeaba a Log4Shell, el fallo de Log4j de 2021. Terminal2Shell sostiene, en clave de humor, que casi todas las pruebas de concepto de esa familia empiezan con alguien abriendo una terminal, así que todas dependen de ella.
Lo que deja para los equipos de sistemas
Ponerle nombre a un fallo tiene ventajas. Desde Heartbleed en 2014, un nombre fácil de recordar ha servido para que dirección y equipos técnicos hablen del mismo problema y prioricen el parcheo. El inconveniente llega cuando cualquier hallazgo menor recibe el mismo envoltorio. Para quien gestiona servidores, nubes o flotas de contenedores, la prioridad debería salir del aviso del fabricante, de la exposición real del sistema y de si hay explotación activa, no de que el fallo tenga web y logo.
La parodia también esconde una verdad práctica: una terminal ejecuta con los permisos del usuario todo lo que recibe. Por eso los riesgos reales están en pegar comandos copiados sin revisar, en ejecutar scripts con curl | sh o en las campañas que piden abrir PowerShell o la terminal para «solucionar» un error. Para Terminal2Shell no hay nada que hacer salvo, si se cuela en alguna fuente de alertas, marcarla como lo que es. OpenSecurity recoge los detalles de la web en su artículo sobre Terminal2Shell.
Preguntas frecuentes
¿Terminal2Shell afecta a mis servidores?
No. Es una web satírica que describe el funcionamiento normal de una terminal. No hay CVE, parche ni aviso de ningún fabricante.
¿Por qué se ha hecho popular?
Porque imita con detalle las webs de vulnerabilidades reales y critica la costumbre de anunciar fallos con nombre comercial, logo y dominio propio.
¿React2Shell sí fue real?
Sí. CVE-2025-55182 fue una vulnerabilidad de ejecución remota de código en React Server Components con CVSS 10,0, divulgada el 3 de diciembre de 2025 y corregida por el equipo de React.
Fuentes:
