Terminal2Shell: 55 años amenazando a miles de millones de dispositivos

Terminal2Shell podría ser una de las vulnerabilidades más graves jamás descubiertas. Según sus investigadores, afecta a miles de millones de dispositivos, está presente en prácticamente todos los sistemas operativos y lleva amenazando la seguridad informática desde 1971. Su peligrosidad es tal que ha recibido una puntuación CVSS de 11 sobre 10, superando incluso el máximo previsto por la escala. Lo más inquietante es que su explotación no requiere conocimientos avanzados, herramientas especiales ni siquiera descargar un archivo: basta con abrir una terminal y escribir un comando. Hay un pequeño detalle, eso sí: ejecutar órdenes introducidas por el usuario es precisamente la razón de ser de una terminal. Terminal2Shell es, en realidad, una magnífica parodia de las alertas de ciberseguridad.

La supuesta investigación documenta el ataque con una precisión envidiable. El procedimiento de explotación tiene un único paso, «abrir una terminal», y afecta a Windows, Linux, macOS, BSD e incluso a dispositivos que llevan décadas fuera de circulación. Entre los indicadores de compromiso aparecen un cursor parpadeante y símbolos tan sospechosos como $, % o #. Las recomendaciones para mitigar el riesgo tampoco tienen desperdicio: evitar abrir terminales, escribir los comandos más despacio para ralentizar a los atacantes o desconectar físicamente el teclado. Ni siquiera esta última medida es infalible, advierten, porque existen los teclados virtuales. La respuesta atribuida a los fabricantes tras recibir el aviso resume el asunto: «Eso es lo que hace una terminal».

El chiste funciona porque se apoya en una costumbre muy real: presentar cada gran vulnerabilidad con un nombre memorable, una web propia, una identidad visual y titulares capaces de poner nervioso a cualquier administrador de sistemas. Después de fallos auténticos y graves como PHP2Shell, la proliferación de denominaciones terminadas en «2Shell» ofrece un terreno fértil para la sátira. Terminal2Shell lleva esa fórmula a su conclusión más absurda: convertir en amenaza crítica una función que lleva medio siglo siendo imprescindible. Al menos esta vez no hace falta aplicar un parche de emergencia, aunque quizá convenga comprobar que nadie ha retirado el teclado por precaución.