Veille menaces / Campagne
GSocket : des attaquants gardent un accès caché aux serveurs web Linux piratés
Le 11 novembre 2026, Microsoft a décrit plusieurs incidents où des attaquants ont pénétré des serveurs web Linux exposés sur Internet, surtout des applications PHP sur des hébergements cPanel, puis y ont installé GSocket, un outil d'accès à distance open source. Le serveur et l'opérateur se connectent tous deux vers un réseau de relais public : il n'y a donc pas d'adresse d'attaquant à bloquer, et l'accès survit au correctif de la faille d'origine. Selon Microsoft, le nombre d'appareils avec des détections liées à GSocket a augmenté de 356,2 % entre mars et août 2026.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- cPanel, Apache, Linux kernel
- Comment c'est arrivé
- Les attaquants exploitent des applications web exposées sur Internet, puis utilisent curl pour télécharger et lancer un script distant qui inventorie la machine et dépose le client GSocket dans des répertoires accessibles en écriture ou en mémoire, comme /dev/shm, sous des noms qui imitent des processus du noyau. Ils conservent l'accès par des tâches cron, des services systemd, des fichiers de démarrage du shell et des processus de surveillance, et effacent leurs fichiers de préparation. Dans quelques incidents, ils ont tenté d'exploiter la faille du noyau Linux CVE-2026-43284 (« Dirty Frag ») pour obtenir les droits root. Microsoft prévient de ne pas considérer le correctif de l'application comme une remédiation complète.[1][2] Vérifié le 12 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 12 nov. 2026
- Qui est touché
- Les organisations qui exploitent des serveurs web Linux exposés. Dans les incidents attribuables relevés par Microsoft, 87,1 % concernent des applications web et de l'hébergement, 63,9 % des applications web PHP et des hébergements cPanel, et 24,3 % Apache. L'enseignement et la recherche représentent 30,7 % des organisations touchées, les technologies et télécommunications 22,9 % ; Microsoft précise que ces parts ne signifient pas que les attaquants ont choisi ces secteurs délibérément. Aucun nombre de victimes n'est public.[1][2] Vérifié le 12 nov. 2026
- Acteur
- Non attribué. Aucun groupe nommé. Microsoft indique que l'outil est utilisé par plusieurs acteurs malveillants sans lien entre eux.
- CVE
- CVE-2026-43284
Chronologie
- Microsoft publie son analyse : le nombre d'appareils avec des détections liées à GSocket a augmenté de 356,2 % entre mars et août 2026, sans progression régulière d'un mois à l'autre. Il recommande de bloquer par défaut le trafic sortant, d'auditer les tâches cron, les services systemd et les fichiers de démarrage du shell, et de corriger en priorité les failles d'élévation de privilèges locales sur les serveurs exposés. [1]
- BleepingComputer relaie la campagne. [2]