Linuxサーバーへの持続的アクセスにGSocketを悪用、脆弱性修正後も侵入可能に

攻撃者が、オープンソースの遠隔アクセスツール「GSocket」を侵害したLinuxサーバーに導入し、継続的なアクセスに悪用しています。GSocketは侵入に使われたウェブアプリケーションとは独立して動くため、アプリの脆弱性を修正した後もアクセス経路が残ります。

Microsoftのセキュリティ製品「Defender for Endpoint」の観測データでは、GSocketに関連する検知があったデバイスは2026年3月から8月にかけて356.2%増加しました。原因を特定できたインシデントの87.1%は、ウェブアプリとホスティング環境に関連していました。

外向き通信と共有リレーで再接続

GSocketは、公開中継サービス「Global Socket Relay Network」を通じて通信相手を接続します。侵害されたサーバーと攻撃者がそれぞれ外向きにリレーへ接続し、両者の間にエンドツーエンドで暗号化された通信経路を作ります。

接続先の識別には、IPアドレスやホスト名の代わりに共有シークレットと呼ばれる秘密情報を使います。攻撃者はこの情報を使って再接続でき、侵害したサーバーに外部からの接続を待ち受ける仕組みを設ける必要もありません。

通信は共有リレーを経由するため、攻撃者が専用の指令用サーバーを運用する必要もありません。受信方向のファイアウォール規則では通信を捉えられない一方、外向き通信の制限や監視は可能です。

ウェブアプリへの侵入から権限昇格を試みる例も

確認された侵入では、攻撃者が外部に公開されたウェブアプリの脆弱性を突き、ウェブサービスの権限でコマンドを実行しました。その後、通信ツールのcurlでスクリプトを取得し、対象のシステムに合うGSocketクライアントを配置しています。

攻撃者は、GSocketのプロセス名をLinuxの中核機能で動く処理に似せて偽装していました。また、定期実行のcron、サービス管理のsystemd、シェルの起動設定などを使い、再起動後も動作を維持する仕組みを設けた例がありました。

一部の事例では、Linuxカーネルの脆弱性「CVE-2026-43284」を悪用し、ウェブサービスの権限から管理者に相当するroot権限への昇格も試みています。この脆弱性は「Dirty Frag」と呼ばれる脆弱性群の一つです。

CVE-2026-43284は、該当するカーネルの機能が有効な環境で、権限の低い利用者がユーザー名前空間を作成でき、特定の権限で実行されるsetuidバイナリを実行できる場合に悪用されます。読み込まれたファイルのページキャッシュを変更し、rootへの権限昇格につながる脆弱性です。

影響を受けた組織と調査の手掛かり

Microsoftの観測では、ウェブアプリとホスティングに関連するインシデントの内訳は、PHPのウェブアプリとcPanelホスティングが63.9%、ウェブサーバーのApacheが24.3%でした。影響を受けた組織は教育・研究分野が30.7%で最も多く、技術・通信分野が22.9%で続きました。

サーバー上の調査では、ウェブサービスから起動された不審な子プロセス、システムの処理を装うプロセス名、隠しファイルや書き込み可能な場所からの実行が手掛かりになります。GSocketの関連ツールであるgs-netcatの活動や、リレーネットワークへの外向き接続も調査対象です。