Terminal2Shell no es una vulnerabilidad, aunque su web lo imite todo: nombre comercial, apodo («TermGeddon»), tabla de sistemas afectados, CVE «pendiente», cronología de divulgación y una puntuación CVSS de 11 sobre 10. El «fallo» que describe terminal2shell.com es el funcionamiento normal de cualquier terminal: al abrirla, arranca una shell conectada al teclado que ejecuta los comandos que escribe el usuario. La página, que ha circulado esta semana por foros técnicos como Lobsters, es una parodia de cómo se anuncian hoy muchos fallos de seguridad.
Las claves de Terminal2Shell en 30 segundos
- Terminal2Shell es una web satírica, no un fallo real: no hay CVE, parche ni investigadores identificados.
- Presenta como vulnerabilidad crítica que una terminal ejecute los comandos que teclea el usuario.
- Incluye una «prueba de concepto» interactiva y «mitigaciones» como no abrir terminales o escribir más despacio.
- Se burla del marketing de los fallos con nombre, logo y dominio, y alude directamente a la familia «2Shell».
- No requiere ninguna acción por parte de usuarios ni administradores.
Conviene dejarlo claro desde el principio porque la página está diseñada para parecer seria a primera vista y un titular sacado de contexto podría acabar en un boletín de alertas. No afecta a ningún producto, no hay nada que actualizar y ningún fabricante ha publicado un aviso. Lo interesante de Terminal2Shell está en lo que critica.
Una web de vulnerabilidad con todos los ingredientes
La página copia la estructura de las webs que acompañan a los grandes fallos. Explica que se trata de una vulnerabilidad «de diseño» en los emuladores de terminal, porque al abrirse lanzan una shell que obedece al teclado con los privilegios del usuario. Añade que los investigadores han confirmado que la shell ejecuta cualquier orden, incluidas las que borran archivos o instalan programas, y que en algunos casos se ha observado que ejecutaba comandos que había escrito el propio usuario.
La lista de afectados incluye Terminal.app, iTerm2, Ghostty y Warp en macOS; gnome-terminal, Konsole, xterm y la consola virtual de Ctrl+Alt+F2 en Linux; cmd.exe, PowerShell, Windows Terminal y WSL en Windows; FreeBSD y OpenBSD; un DEC VT100 de 1978 conectado por cable serie, el router de casa y la terminal integrada de VS Code. El único producto que figura como no afectado es Microsoft Paint. La web incorpora además una «prueba de concepto totalmente armada»: una terminal simulada en el propio navegador que invita a escribir help.
Los pasos de explotación se reducen a uno, abrir una terminal, y los indicadores de compromiso son los símbolos de los prompts ($, %, >, #) seguidos de un cursor parpadeante. Las mitigaciones siguen el mismo tono: no abrir terminales, cerrarlas nada más abrirlas, teclear más despacio para reducir los comandos por minuto, quitar el teclado o fijar SHELL=/bin/false, una medida que, según la propia web, elimina el problema y también la posibilidad de usar el ordenador.
La cronología de divulgación arranca en 1971 con la shell de Thompson en la primera versión de Unix, pasa por la shell de Bourne (1979), Bash (1989) y la popularización de zsh, y termina en 2026: los investigadores avisan a todos los fabricantes a la vez, estos responden que eso es precisamente lo que hace una terminal y los autores registran un dominio, diseñan un logo y contactan con la prensa. Con eso dan la divulgación coordinada por completada.
El blanco de la broma: nombres, logos y la familia 2Shell
Las preguntas frecuentes de la web explican la intención. A la pregunta de por qué tiene logo, responden que toda vulnerabilidad seria necesita un logo, un dominio y un nombre con un número y un sustantivo, y que como Terminal2Shell tiene los tres, debe de ser grave. A la de si hay que entrar en pánico, contestan que sí, porque es la respuesta recomendada ante cualquier vulnerabilidad con página web.
La referencia más directa es a los fallos bautizados con el sufijo «2Shell» o «Shell». El más reciente es React2Shell (CVE-2025-55182), una vulnerabilidad real de ejecución remota de código en React Server Components, con puntuación CVSS de 10,0, divulgada el 3 de diciembre de 2025. Su descubridor creó la web react2shell.com y el nombre homenajeaba a Log4Shell, el fallo de Log4j de diciembre de 2021. La paródica Terminal2Shell sostiene que casi todas las pruebas de concepto de esa familia empiezan igual, con un investigador abriendo una terminal, así que todas dependen de ella.
La costumbre de dar marca a las vulnerabilidades no es nueva. Heartbleed, en 2014, popularizó la fórmula de nombre, logo y web propia, y desde entonces la han seguido muchos fallos importantes. Tiene una parte útil: un nombre fácil de recordar ayuda a que los equipos de sistemas identifiquen el problema y a que la dirección entienda por qué hay que parchear con urgencia. El problema aparece cuando el envoltorio se aplica a fallos menores o a comportamientos esperados, y la atención se reparte peor entre lo que de verdad es crítico y lo que solo está bien presentado.
Lo que sí conviene revisar en la terminal
Detrás del chiste hay una idea correcta: una terminal abierta ejecuta con los permisos del usuario todo lo que recibe, y eso incluye lo que se pega desde fuera. Los riesgos reales están en pegar comandos copiados de webs sin revisarlos, en ejecutar scripts descargados directamente con curl | sh o en las técnicas de ingeniería social que piden al usuario abrir PowerShell o la terminal y pegar una orden para «solucionar» un supuesto error. También hay vulnerabilidades reales en los propios emuladores, normalmente relacionadas con secuencias de escape maliciosas, que se corrigen con actualizaciones normales.
Para Terminal2Shell, en cambio, no hay parche ni hace falta. Lo más práctico que pueden hacer los equipos de seguridad es comprobar que no se cuela en sus fuentes de alertas automatizadas y, si alguien de la dirección pregunta por ella, explicar que es una broma.
Preguntas frecuentes
¿Terminal2Shell es una vulnerabilidad real?
No. Es una web satírica que presenta como fallo crítico el funcionamiento normal de una terminal. No tiene CVE asignado ni avisos de fabricantes.
¿Tengo que actualizar algo por Terminal2Shell?
No. No afecta a ningún producto y no existe parche porque no hay nada que corregir.
¿De qué se burla Terminal2Shell?
De la costumbre de anunciar vulnerabilidades con nombre comercial, logo, dominio propio y mensajes alarmistas, con una referencia directa a fallos como React2Shell y Log4Shell.
¿Qué es React2Shell?
Es una vulnerabilidad real (CVE-2025-55182) de ejecución remota de código en React Server Components, con CVSS 10,0, divulgada el 3 de diciembre de 2025 y corregida en versiones posteriores de React.
Fuentes:
