「1971年以来すべての OS に存在する重大な欠陥」「CVSS 11.0」「実環境で悪用中・20億台以上・パッチなし」——こう書かれた Terminal2Shell（別名 TermGeddon）の画像が X で広まっています。結論から言うと、これは本物の脆弱性ではなく、ターミナルの仕様を脆弱性に見立てたパロディです。ターミナルを開けばログインした本人の権限でシェルが使える、というのは欠陥ではなくターミナルそのものです。
PARODY vs REALITYTerminal2Shell の主張と実際
書かれているのは脆弱性ではなく、ターミナルの仕様
サイトの主張（パロディ）
- CVSS 11.0・悪用まで 0ms・55年間さらされていた
- ターミナルを開くとシェルが使えてしまう
- macOS・Linux・Windows・ルーターまで全部「脆弱」
- 対策：ターミナルを開かない、キーボードを外す
実際
- CVSS は v3・v4 とも最大 10.0（計算の最後で 10 に頭打ち）
- ログインした本人が自分の権限でシェルを使うのは仕様
- 越えている権限の境界が無い（すでに認証済み）
- CVE も各社のアドバイザリも無い
30秒でわかる（2026-11-10）
- ・時系列：公表日は 2026年11月。サイトの「時系列」は1971年の Unix v1 から始まる冗談で、最後は「研究者がドメインを取り、ロゴを作り、報道に連絡した」
- ・正体：ターミナルを開くとシェルが起動する、という仕様を脆弱性の発表の形式で書いたジョーク
- ・ありえない点：CVSS は最大 10.0 で、11.0 は存在しない。越えている権限の境界も無い
- ・対策：Terminal2Shell には不要。ただし wp2shell・php2shell・Node2shell などは本物なので、名前ではなく CVE で判断する
まずやること（画像を見て慌てた人へ）
- Terminal2Shell について：何もしなくてよい。ターミナルを閉じる必要も、キーボードを外す必要もない。
- 社内で共有する人：転送するなら「パロディ」と添える。本物の警報と混ざると、本物の警報が読まれなくなる。
- 脆弱性の情報を日々追う人：下の「5つの観点」をチェックリストにして、名前とロゴより先に CVE と CVSS のベクトルを見る。
脆弱性への備え方の土台は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 にまとめています。
Terminal2Shell とは——ターミナルの仕様を脆弱性に見立てたパロディ
サイトは、本物の脆弱性の発表と同じ形式で書かれています。CVE 番号は「pending（申請中）」、深刻度は CVSS 11.0、悪用までの時間は 0ms、さらされていた期間は55年、攻撃の複雑さは「1クリック」です。説明によれば、ターミナルを起動するとすぐにシェルのプロセスが作られてキーボードにつながり、「攻撃者」はログイン中のユーザーの全権限で任意のコマンドを実行できる、とされています。
もちろん、これは脆弱性ではありません。サイト自身があちこちで種明かしをしています。
| サイトの記述 | 実際の意味 |
|---|---|
| 「シェルは利用者自身が打ったコマンドを実行することが観測された」 | シェルとはそういうもの |
| 攻撃手順「ターミナルを開く。手順2は無い」 | 誰でも普通にやっている操作 |
侵害の兆候「$ や # の後に点滅するカーソル」 |
シェルのプロンプト |
対策「SHELL=/bin/false にする。コンピュータを使う能力も完全に失う」 |
対策にならないことを自分で言っている |
| 時系列「ベンダーの回答：それがターミナルというものだ」 | 仕様だと認めている |
影響を受ける製品の表には macOS・Linux・Windows・ルーター・VS Code が「VULNERABLE」と並び、Microsoft Paint だけが「影響なし」です。笑えるのは、どれも本物の発表でよく見る型をそのまま使っているからです。
なぜ今——「〜2Shell」の名前が続いた2026年
THE *2SHELL WAVEパロディの背景
2026年は「〜2Shell」の名前が続いた
-
7月
wp2shell（CVE-2026-63030）
WordPress 本体の認証不要 RCE。7.0.2 で修正
-
10月
php2shell（CVE-2026-109618・109619）
PHP の RCE。実環境での大量悪用が報じられた
-
10月
Node2shell・HTTP2Shell（CVE-2026-111497）
原因は上流の Brotli デコーダ。名前が増えて射程の把握が難しくなった
-
11月
Terminal2Shell（パロディ）
ドメイン・ロゴ・CVSS 11.0 で、名前先行の発表を皮肉る
サイトの FAQ には「ほかの *2Shell 脆弱性と関係あるか」という問いがあります。2026年は、本物の深刻な脆弱性に「〜2Shell」という名前が続けて付けられました。
- wp2shell（CVE-2026-63030）：WordPress 本体の認証不要の RCE。詳しくは wp2shell（CVE-2026-63030）WordPress 脆弱性｜7.0.2で修正、今の更新先と確認手順
- php2shell（CVE-2026-109618・109619）：PHP の RCE で、実環境での悪用も報じられた
- Node2shell・HTTP2Shell（CVE-2026-111497）：原因は上流の Brotli デコーダで、名前が増えるほど「どこまでが同じ問題か」が分かりにくくなった。詳しくは HTTP2Shell とは｜node2shellの正体は上流Brotliの問題、HTTPでBrotliを展開する多くのライブラリに波及
覚えやすい名前は、更新を急ぐべき本物の脆弱性を広めるのに役立ちます。一方で、名前・ドメイン・ロゴが先に出て、影響範囲や修正版の情報が後から来ることもあります。Terminal2Shell の時系列の最後が「ドメインを取り、ロゴを作り、報道に連絡した。協調開示は完了とみなす」で終わるのは、その順番への皮肉です。
本物かどうかを確かめる5つの観点と対策
IS IT REAL?脆弱性の発表を見たら確かめる5つ
ロゴより先にCVE・ベクトル・境界を見る
-
1.CVE か公式アドバイザリはあるか
「CVE ID pending」だけで、ベンダーの発表が無いなら保留
-
2.CVSS は 10.0 以下か、ベクトルはあるか
11.0 はありえない。点数だけでベクトル文字列が無い発表は疑う
-
3.攻撃者は何を越えるのか
すでに持っている権限で同じことができるなら、境界を越えていない
-
4.前提条件は何か
ネットワークから届くのか、ローカルで操作が要るのか。AV:N か AV:L か
-
5.修正版・回避策は誰が出すのか
直す主体が無い・対策がジョークなら、脆弱性として扱う話ではない
Terminal2Shell が「おかしい」と分かる理由は、そのまま本物の発表を読むときの観点になります。
- CVE か公式のアドバイザリはあるか：「CVE ID pending」だけで、影響を受けるはずのベンダーの発表が無いなら、判断を保留します。本物の大きな脆弱性なら、OS やソフトの開発元が自分のアドバイザリを出します。
- CVSS は 10.0 以下で、ベクトルが書かれているか：CVSS の点数は 0.0〜10.0 の範囲です。計算ライブラリ（RedHatProductSecurity/cvss）のソースでも、v3 は計算の最後で
min(…, 10)、v4 はmin(10.0, value)と、10 を超えないように頭打ちにしていました。点数だけでベクトル文字列（CVSS:4.0/AV:N/…のような形）が無い発表は、根拠をたどれません。 - 攻撃者は何を越えるのか：脆弱性とは、本来できないはずのことができてしまう欠陥です。Microsoft は Windows の脆弱性を扱う基準で、セキュリティ境界を「信頼の度合いが違う領域のコードとデータを論理的に分けるもの」と定義し、境界やセキュリティ機能の目的を破るかどうかを最初の判断基準にしています。ログインした本人が自分の権限でシェルを使っても、越えている境界はありません。
- 前提条件は何か：ネットワーク越しに届くのか（CVSS の AV:N）、その機器の前で操作が要るのか（AV:L・AV:P）で、急ぎ方は大きく変わります。Terminal2Shell の「前提」は、ローカルでの操作・キーボード・ターミナルの場所を知っていること、です。
- 修正版や回避策は誰が出すのか：本物の発表には、どの版で直るか、更新できないときにどう緩和するかが書かれます。対策が「ターミナルを開かない」なら、それは直す話ではありません。
影響範囲——このパロディで本当に気をつけること
Terminal2Shell そのものの影響を受けるシステムはありません。気をつけたいのは、本物の警報の読まれ方です。冗談の警報が本物と混ざって流れると、受け取る側は「また大げさな名前か」と慣れてしまい、本当に急ぐべき発表まで読み飛ばしやすくなります。社内で共有するときは、パロディならパロディと明記し、本物なら CVE・影響を受ける版・修正版の3つを必ず添えるのが、いちばん効く対策です。
Terminal2Shell の「侵害」を自分のターミナルで確かめる
サイトの言う「侵害」が自分の環境でも起きているか、念のため確かめておきます。次のコマンドは、今のシェルの名前と、ログイン時に使うシェルを表示します。
ps -p $$ -o comm=
echo "$SHELL"
手元の Linux では bash と /bin/bash が表示されました。シェルが起動しているのは、ターミナルが正しく動いている証拠で、侵害の兆候ではありません。このコマンドは今のシェルの名前を見るだけです。脆弱性の有無は、このコマンドだけでは判断できません。自分の環境が本物の脆弱性の影響を受けるかは、それぞれの CVE の記事に載せた確認手順で調べてください。たとえば Linux カーネルの例は CVE-2026-99999（PwnEscape）とは｜さくらが新規受付を止めたLinuxカーネル脆弱性と確認手順 にあります。
参照ソース
- Windows Security Servicing Criteria（Microsoft Security Response Center）（2026-11-10 確認）
- RedHatProductSecurity/cvss（GitHub） — CVSS v3・v4 の計算コード（cvss3.py・cvss4.py、2026-11-10 確認）
- CVSS v4.0 Specification Document（FIRST）
- terminal2shell.com（パロディのサイト）
