Berbagai kelompok penyerang siber menyalahgunakan GSocket, alat akses jarak jauh open-source yang sah, untuk mempertahankan akses ke server Linux. Praktik ini membuat penyerang tetap bisa masuk ke dalam sistem bahkan setelah administrator menambal celah keamanan awal yang dipakai untuk membobol server.
Data telemetri Microsoft Defender for Endpoint mencatat lonjakan deteksi aktivitas berbahaya terkait GSocket sebesar 356,2 persen antara bulan Maret dan Agustus. Mayoritas insiden ini menyasar lingkungan aplikasi web dan layanan hosting.
Cara Kerja GSocket Melewati Firewall dan Eksploitasi CVE-2026-43284
GSocket memungkinkan penyerang menjangkau sistem di balik firewall atau Network Address Translation (NAT). Alat ini mencegat koneksi jaringan dan mengganti komunikasi lapisan IP konvensional program dengan lapisan transport miliknya sendiri, lalu meneruskan trafik melalui Global Socket Relay Network.
Dalam skema ini, server yang telah disusupi maupun pihak operator sama-sama menginisiasi koneksi keluar (outbound) menuju relay publik yang menjembatani sesi terenkripsi ujung-ke-ujung. “Host yang disusupi dan operator sama-sama terhubung keluar ke relay,” jelas Microsoft. Karena tidak membutuhkan inbound listener atau alamat IP publik pada server korban, aturan firewall masuk (inbound) biasa tidak dapat menangkap trafik berbahaya tersebut. Penyerang juga tidak memerlukan server command-and-control (C2) khusus, sehingga pemblokiran berbasis daftar IP atau domain milik penyerang menjadi tidak efektif.
Dari seluruh insiden yang terdeteksi Microsoft, 87,1 persen berkaitan dengan aplikasi web dan layanan hosting. Aplikasi web berbasis PHP dan lingkungan hosting cPanel menyumbang 63,9 persen kasus, sedangkan server Apache mencakup 24,3 persen. Target utama meliputi sektor pendidikan dan riset, disusul oleh sektor teknologi dan komunikasi, manufaktur, serta instansi pemerintah.
Agar akses bertahan melewati proses reboot, penyerang menyamarkan proses GSocket sebagai kernel thread serta memanfaatkan cron job, layanan systemd, dan file startup shell. Dalam sejumlah kasus, penyerang juga mencoba mengeksploitasi celah kernel Linux bernama Dirty Frag untuk mendapatkan hak akses root pada host.
- Kode celah: CVE-2026-43284 (Dirty Frag) dengan skor CVSS 8.8 (High) dan skor EPSS 94 persen.
- Komponen terdampak: Kernel Linux pada subsistem xfrm esp (terkait penanganan MSG_SPLICE_PAGES pada shared skb frags).
- Perbaikan vendor: Perbaikan telah dimasukkan ke kernel Linux dan tersedia antara lain melalui rilis CBL-Mariner dari Microsoft.
Langkah Mitigasi untuk Administrator Server Linux
Menambal celah pada aplikasi web saja tidak cukup apabila penyerang sudah telanjur menanam GSocket di dalam mesin. Peneliti keamanan Microsoft merekomendasikan administrator sistem untuk melakukan langkah pemeriksaan dan pembersihan berikut pada server Linux yang berhadapan langsung dengan internet:
- Hapus program GSocket beserta seluruh file terkait dari server yang berpotensi terdampak, lalu pastikan koneksi keluar menuju jaringan relay GSocket telah berhenti sepenuhnya.
- Terapkan pemfilteran trafik keluar (egress filtering) dan batasi koneksi outbound hanya ke tujuan yang telah ditentukan sebelumnya.
- Audit daftar cron job, layanan systemd, file startup shell, serta proses yang menyamar sebagai kernel thread untuk menemukan entri tidak sah.
- Perbarui sistem operasi dan aplikasi ke versi terbaru, termasuk memasang patch kernel Linux untuk menutup celah CVE-2026-43284.
Sumber: BleepingComputer, PlainSec. Gambar: Ilustrasi AI