La patch chiude l’ingresso, ma GSocket resta sui server Linux
Microsoft ha rilevato molteplici incidenti in cui GSocket ha mantenuto l’accesso a server Linux compromessi anche dopo la correzione delle vulnerabilità usate per entrare. Microsoft riferisce che l’uso dello strumento è cresciuto negli ultimi mesi e coinvolge attori non collegati tra loro.
GSocket instrada il traffico attraverso una rete pubblica condivisa: il server compromesso e l’operatore si collegano entrambi verso l’esterno e il relay li mette in comunicazione. Non serve un listener in ingresso né un indirizzo controllato dall’attaccante da bloccare. Microsoft segnala anche tentativi di sfruttare CVE-2026-43284 per ottenere privilegi più elevati.
Per chi gestisce applicazioni web esposte e ambienti di hosting Linux, correggere la falla iniziale può lasciare intatto l’accesso persistente. La bonifica dipende quindi da ciò che resta sul server e dalle sue connessioni in uscita, non soltanto dalla patch.
Hackers plant GSocket on Linux servers for persistent access
Multiple threat actors are abusing GSocket, a legitimate open-source remote access tool, to maintain access to Linux servers even after patching the vulnerabilities exploited to gain initial access.