微軟安全官方於二零二六年十一月十一日發布研究，指威脅者在已入侵的 Linux 伺服器部署開源遠端存取工具 GSocket，即使原本用作入侵的網頁應用程式漏洞已修補，仍可經公共中繼網絡維持加密遠端存取。Microsoft Defender for Endpoint 遙測顯示，二零二六年三月至八月出現 GSocket 相關偵測的裝置增加百分之三百五十六點二，升幅並非每月均勻；在可歸因事件中，網頁應用與託管佔百分之八十七點一。官方強調，單靠修補應用程式並不足夠，還須清查後門、持久化設定及對外連線。本文已核對微軟安全部落格原文，來源真實性已驗證。
微軟／官方：威脅者把開源遠端工具 GSocket 用作隱蔽指揮通道——修補原漏洞後仍可維持存取；相關偵測由三月至八月升百分之三百五十六點二
微軟威脅情報團隊於官方安全部落格指出，研究人員在多宗事件中觀察到，威脅者在已遭入侵的 Linux 伺服器安裝開源遠端存取工具 GSocket，把一次網頁應用程式入侵，延續成修補漏洞之後仍然存在的遠端通道。文章由首席安全研究員 Yash Gund、高級安全研究員 Sumith Maniath 及 Microsoft Security Research 撰寫，並於二零二六年十一月十一日發布。本文內容核對自該官方頁面，來源真實性已驗證。
一、核心事件
GSocket 本身是公開的遠端連線工具，原本可用作合法的遠端管理。微軟寫道，正因為它解決了常見後門的多項短處，才被多個並無關聯的威脅者採用。傳統做法例如把 SSH 金鑰寫入 authorized_keys，管理員稽核時較易發現；反向 Shell 則依賴威脅者自建伺服器，防衛者可以封鎖或導入陷阱；自制惡意程式又需要持續開發維護。
GSocket 則把流量送到名為 Global Socket Relay Network（全球通訊端中繼網絡，GSRN）的公共中繼服務。威脅者不必自行註冊或託管指揮基礎設施，因此沒有專屬的 IP 位址或域名可供封鎖，機構仍可選擇限制通往該中繼本身的連線。受陷主機與操作者都只向外連線，由中繼撮合兩端會話，主機無需開放入站連接或擁有公用 IP；入站防火牆看不到這類流量，但出口過濾與對外連線監控仍然有效。部署指令碼還可以把行程改名、把檔案暫存於記憶體檔案系統，並安裝可在重啟後仍保留的持久化設定。
技術細節
微軟 Defender for Endpoint 遙測顯示，這類活動並非單一入侵。以三月為基線，二零二六年三月至八月出現 GSocket 相關偵測的裝置增加百分之三百五十六點二，但升幅並非每月均勻。可歸因事件中，網頁應用與託管佔百分之八十七點一；在該組別內，PHP 網頁應用與 cPanel 託管佔百分之六十三點九，Apache 佔百分之二十四點三。受影響機構以教育與研究佔最大份額，達百分之三十點七，科技與電訊為百分之二十二點九。微軟明確指出，這些數字反映受影響機構的分布，並不表示威脅者特意選定這些行業；更可能的因素是暴露面，例如學術機構往往擁有分散、且不一定由中央資訊部門統一維護的大型網站資產，盤點與修補都較困難。
在以遠端程式碼執行作為初始入侵的事件中，攻擊鏈大致相近，但並非每一階段都出現在所有入侵：威脅者先入侵面向互聯網的應用程式，探查主機，傳入並隱藏中繼工具，再把通道用作指揮與控制；部分事件還包括持久化與權限提升。官方寫道，威脅者會用 curl 下載並執行遠端指令碼，按系統架構選用對應的 GSocket 用戶端，暫存在可寫或記憶體掛載路徑（例如 /dev/shm），再經 GSRN 建立加密對外通道。其後會以類似核心執行緒的行程名稱偽裝、經 cron、systemd、Shell 設定檔、看門狗及冗餘副本維持存取，並刪除暫存檔等部署痕跡。
在少數已觀察事件中，威脅者在取得網站服務帳戶執行權後，曾嘗試利用 Linux 核心漏洞 CVE-2026-43284（微軟稱為 Dirty Frag）把權限提升至 root。官方建議，面向互聯網的伺服器應優先處理本地權限提升修補；並另行指出，微軟 FORGE Lab 近日亦公開了五十九份 Linux 核心漏洞報告，當中包括八項研究人員在受控環境中展示本地提權的漏洞。這屬於同一官方安全頻道的相關研究，並非本次 GSocket 遙測的主體。
二、技術原理深度解析
GSocket 不以固定 IP 或主機名稱識別端點，而是依靠共享密鑰。微軟寫道，安裝時指令碼通常會產生隨機密鑰並輸出到標準輸出；操作者可從主控台讀取、先寫入暫存檔再取回，或經工具支援的通知渠道把密鑰送出。其後，任何人只要持有該密鑰，即可從相容的 GSocket 用戶端重新連線，而無須知道受害主機的 IP、主機名稱或網絡位置。
與把威脅者伺服器位址寫進载荷的傳統反向 Shell 不同，GSocket 由共享密鑰派生連線識別與認證資料。受陷主機與操作者各自向外連到 GSRN，由中繼配對並建立端對端加密會話。任何一端都不需要公用 IP、入站監聽程式，或寬鬆的入站防火牆規則。因此，單靠封鎖某個 IP 或域名，往往切不斷這條通道；連線依賴公共中繼、通常已被准許的對外連線，以及不必寫死在载荷裡的密鑰。
也正因為 GSocket 的用戶端獨立於被利用的應用程式運行，修補該漏洞或重啟服務，並不會自動移除中繼用戶端及其持久化設定。官方因此提醒防衛者：調查受影響主機時，應尋找 GSocket 部署、持久化、權限提升及對外連線的證據，而不是把應用程式修補視為整場修復的完成。
四、日常應用場景
1. 開發者與技術團隊
營運面向互聯網的 PHP、內容管理系統或託管控制台的團隊，應把「修補漏洞」與「清理主機」分成兩項工作。官方建議持續更新網頁應用、外掛與應用伺服器，移除不用的元件，並限制檔案上傳與管理路徑；同時檢查並移除 GSocket 用戶端、相關持久化項目與暫存檔，確認通往中繼基礎設施的對外連線已經停止。只殺掉正在運行的行程並不足夠，因為持久化往往疊加在多種機制之上。
2. 企業與隱私敏感行業
教育、研究、科技與電訊機構在遙測中佔比較高，但微軟認為主因是暴露面而非定向選擇。金融、醫療、法律等同樣以 Linux 託管對外網站或客戶門戶的機構，同樣需要假設：一旦網頁應用被入侵，攻擊者可能留下不依賴原漏洞的隱蔽通道。官方建議以「預設拒絕」的出口規則，只放行必要目的地，並監控通往中繼基礎設施的連線；在可行時，把暫存與記憶體掛載目錄設為不可執行，並對隱藏或全局可寫路徑上的執行發出警示。稽核 cron、名稱看似正常的 systemd 服務，以及 Shell 啟動檔，應列入事故處理清單。
3. 一般用戶
一般個人電腦使用者未必直接接觸 GSocket，但若使用虛擬主機、雲端主機或把網站放在 cPanel 一類託管環境，修補外掛或重開網站之後，仍應請服務商或管理員檢查是否有來歷不明的排程、系統服務與異常對外連線。微軟在官方指標中列出了與此次分析相關的網域與檔案雜湊，完整清單應以官方部落格為準，切勿只依賴單一封鎖名單。
4. 香港與亞洲市場視角
香港不少中小企業、院校與機構把對外網站放在 Linux 虛擬主機或雲端主機，PHP 與面板式託管仍然常見。這次遙測雖然沒有按地區拆開香港數字，但攻擊面與官方描述高度重疊：網站分散維護、修補節奏不一，以及對外連線往往為了更新與內容分發而相對寬鬆。本地團隊宜把出口監控、主機持久化稽核與應用修補一併納入日常營運，而不是只在漏洞公告出現時升級套件。
五、專業評價與潛在考量
優勢
微軟以官方遙測說明這類手法正在擴散，並清楚解釋為何修補原漏洞仍不夠，對防衛者具有即時操作價值。文章同時指出，同一套中繼模型也服務合法遠端管理，機構可以選擇限制通往該中繼的連線，而不必把問題簡化成「封鎖一個惡意 IP」。官方亦公開了與本次分析相關的指標，並提供主機與對外連線層面的處理方向，包括在 Linux 啟用 Microsoft Defender for Endpoint，以及保持即時保護、雲端傳送防護與行為監控。
需要留意的地方
百分之三百五十六點二的升幅以三月為基線，且官方寫明並非每月均勻，不宜理解成單一月份的突變。可歸因事件與受影響機構佔比，反映的是已觀察遙測，而非完整的全球清冊；官方也表明，所列指標只是這些入侵中的具體觀察，並不是 GSocket 工具或基礎設施的全部清單。GSocket 是公開專案，合法遠端管理與惡意使用共享同一中繼模型，出口封鎖若一刀切，可能影響既有作業，需要按機構自身連線需求審慎設計。至於 CVE-2026-43284，官方僅說明在少數事件中觀察到提權嘗試，並指向同一頻道較早的核心漏洞研究；不應把該漏洞寫成今次所有入侵的必要步驟。
結語
這項官方研究把焦點從「又一個網頁漏洞」移到更難清理的下一階段：威脅者用現成的開源遠端工具，經公共中繼建立起修補之後仍可重連的加密通道。對在香港營運 Linux 網站與雲端主機的機構而言，重點是把修補應用、清理主機、限制出口與稽核持久化視為同一套修復，而不是做完升級便結案。如需在香港部署雲端遷移、主機防護與網絡安全監控，可參考 YSK Limited 的雲端遷移與網絡安全（官網刊 99.99% SLA）。https://ysk.hk/services/cloud-security
參考來源
- 微軟安全官方：The global socket: how threat actors are weaponizing GSocket for stealthy C2（https://www.microsoft.com/en-us/security/blog/2026/11/11/global-socket-how-threat-actors-weaponizing-gsocket-stealthy-c2/）
- GSocket 專案頁（微軟參考來源）：https://github.com/hackerschoice/gsocket