Was mich wundert an dem Bash-Bug: Warum kriegen die das über HTTP hin? Der Apache-User hat doch normalerweise keine Login-Shell