Chyba se projevuje při importu proměnných prostředí do bashe. bash proměnné s obsahem začínajícím () interpretuje jako funkce a pro jejich import používá něco jako eval, což bohužel spustí i kód za definicí té funkce.
Co se týče OpenSSH, zranitelnost je to pouze v případě, že máte uživatele, kteří mají nastavený ForceCommand (v sshd_config nebo authorized_keys) a zároveň používají bash. Většina instalací Debianu je tedy v bezpečí, protože pro takové uživatele používá dash.
Navíc specifické proměnné bashe umožňují dělat to samé (např. PS1).