L'esecuzione di comandi del sistema operativo è la capacità del software di eseguire comandi shell o utilità di sistema native su un server. Diventa un problema di sicurezza quando un input non attendibile, come un campo di un modulo, un parametro API o un'espressione, può influenzare tali comandi. In tal caso, un attaccante può passare dal controllo dei dati dell'applicazione al controllo dell'host stesso.
Questo è importante perché l'esecuzione di comandi può esporre file, variabili d'ambiente, credenziali e accesso alla rete a cui l'applicazione può accedere. Negli attacchi reali, spesso compare dopo una fuga dal sandbox, una vulnerabilità di command injection o l'uso non sicuro di funzioni che passano input a chiamate di sistema. I difensori riducono il rischio evitando l'esecuzione diretta della shell, convalidando e escapando l'input, eseguendo i servizi con privilegi minimi, isolando i carichi di lavoro e monitorando avvii di processi inattesi da applicazioni web o motori di workflow.