GoPhish en 2026 : limites, sécurité et maintenance du projet
GoPhish est-il encore maintenu ? Dernière version en 2022, 12 CVE visant la 0.12.1, limites en entreprise : l'état des lieux vérifié en octobre 2026.
GoPhish est le logiciel libre de simulation de phishing le plus connu. Créé par Jordan Wright en 2013 et publié sous licence MIT, il compte plus de 14 000 étoiles sur GitHub, et beaucoup d’équipes informatiques l’ont installé pour un premier test. En 2026, la question porte moins sur ses fonctions que sur son état : qui le maintient, quelles failles le visent, et ce qu’il faut faire pour l’exploiter sans risque.
Cette page fait le point avec des faits vérifiés le 13 octobre 2026 sur le dépôt GitHub du projet et dans la base de vulnérabilités NVD. Pour comparer GoPhish à une plateforme hébergée, fonction par fonction, voyez notre comparatif GoPhish.
Où en est le projet en octobre 2026
| Indicateur | Situation au 13 octobre 2026 |
|---|---|
| Dernière version publiée | 0.12.1, le 14 septembre 2022 |
| Versions précédentes | 0.12.0 en août 2022, 0.11.0 en août 2020 |
| Dernier commit sur la branche principale | 23 septembre 2024 |
| Issues ouvertes | 678 |
| Pull requests ouvertes | 85 |
| Compilateur des binaires officiels 0.12.1 | Go 1.14, sans correctifs de sécurité depuis février 2021 |
| Éditeur, support, feuille de route | Aucun : projet communautaire |
Le projet n’est pas archivé. Le code reste en ligne, et quelques correctifs sont arrivés sur la branche principale en 2024 (verrouillage des comptes, versions de Go utilisées par l’intégration continue). Aucun n’a donné lieu à une version. Qui télécharge GoPhish depuis la page des versions installe donc le code de septembre 2022, compilé avec une version de Go que l’équipe Go ne corrigeait déjà plus. Compiler soi-même la branche principale récupère les derniers commits, au prix d’un binaire que personne n’a publié ni testé comme version.
Son créateur reste de loin le premier contributeur du dépôt. Aucune entreprise ne porte le projet, si bien qu’il n’existe ni support ni engagement de délai pour corriger une faille.
Les failles connues de la version 0.12.1
La base NVD du NIST recense vingt vulnérabilités publiées pour GoPhish. Douze visent la version 0.12.1, la dernière publiée. Elles ont été rendues publiques entre mars 2023 et octobre 2026, dont cinq le 7 octobre 2026, et aucune version ne les corrige.
| CVE | Publiée le | Score CVSS | Ce qu’elle permet |
|---|---|---|---|
| CVE-2026-82269 | 28/08/2026 | 8,1 | Garder un accès complet à l’API avec une clé valide, même si le compte est verrouillé ou doit changer de mot de passe |
| CVE-2025-70963 | 06/02/2026 | 7,6 | Lire la clé API permanente de l’utilisateur, insérée dans chaque page d’administration |
| CVE-2022-45003 | 22/03/2023 | 7,5 | Provoquer un déni de service avec une charge utile construite autour d’autofocus |
| CVE-2024-55196 | 19/12/2024 | 7,5 | Lire en clair les mots de passe des serveurs SMTP et IMAP configurés |
| CVE-2026-107270 | 07/10/2026 | 7,1 | S’approprier les groupes, modèles, pages et profils d’envoi d’autres utilisateurs |
| CVE-2026-39904 | 22/06/2026 | 6,5 | Saturer la mémoire du serveur avec un document Office piégé joint à un modèle |
| CVE-2022-45004 | 22/03/2023 | 6,1 | Injecter du script (XSS) par une page d’atterrissage piégée |
| CVE-2026-107271 | 07/10/2026 | 5,3 | Contourner la limite de tentatives de connexion en falsifiant l’en-tête X-Forwarded-For |
| CVE-2026-107272 | 07/10/2026 | 4,7 | Injecter du script par les messages d’erreur d’un serveur SMTP, pour voler des clés API |
| CVE-2024-2211 | 06/03/2024 | 4,6 | Stocker du script (XSS) dans le menu des campagnes |
| CVE-2026-107273 | 07/10/2026 | 4,3 | Joindre des machines du réseau interne depuis l’import de pages (SSRF) |
| CVE-2026-107269 | 07/10/2026 | 3,7 | Deviner les noms d’utilisateur valides en mesurant le temps de réponse de la connexion |
Source : NVD, recherche « gophish », consultée le 13 octobre 2026. Scores CVSS attribués par la NVD ou par l’organisme qui a publié la CVE.
En pratique, la plupart de ces failles supposent un accès à l’interface d’administration, avec ou sans compte. Deux d’entre elles (CVE-2026-107269 et CVE-2026-107271) visent la page de connexion elle-même et facilitent la recherche de mots de passe. Une interface d’administration joignable depuis internet cumule donc les risques ; une interface gardée en local, derrière un tunnel SSH ou un VPN, en écarte une bonne partie.
Les versions antérieures à 0.11.0 ajoutent sept autres CVE publiées en octobre 2020 (XSS, SSRF, session non invalidée à la déconnexion, entre autres). Si un vieux serveur GoPhish tourne encore quelque part chez vous, c’est la première chose à vérifier.
Sécuriser une installation si vous la gardez
Si GoPhish reste votre outil, ces règles réduisent nettement l’exposition :
- Laissez l’interface d’administration (port 3333) sur
127.0.0.1, sa valeur par défaut dansconfig.json, et accédez-y par un tunnel SSH ou un VPN. Seul le serveur de phishing (ports 80 et 443) doit être joignable depuis internet. - Changez le mot de passe initial, généré au premier lancement et affiché dans les journaux depuis la version 0.11.0. Réservez les comptes à des administrateurs de confiance : avec la CVE-2026-107270, un simple compte d’utilisateur suffit pour s’approprier les objets des autres.
- Désactivez la capture des mots de passe sur vos pages d’atterrissage. GoPhish l’écrit lui-même dans son interface : les identifiants capturés sont stockés en clair dans la base. Savoir qu’une saisie a eu lieu suffit à la mesure.
- Utilisez un compte SMTP dédié aux simulations, sans autre usage, puisque ses identifiants sont lisibles (CVE-2024-55196).
- N’importez ni pages ni pièces jointes de source inconnue (CVE-2022-45004, CVE-2026-39904, CVE-2026-107273).
- Éteignez le serveur entre deux campagnes, sauvegardez la base SQLite (
gophish.db) et tenez le système à jour. - Si vous l’exploitez dans la durée, compilez la branche principale avec une version de Go encore supportée plutôt que d’utiliser les binaires de 2022.
Nos guides détaillent ces réglages pas à pas : installer GoPhish sur un VPS (Nginx, certificat, pare-feu, accès par tunnel) et GoPhish avec Docker.
Les marqueurs qui trahissent GoPhish
Dans sa version publiée, GoPhish laisse des traces que n’importe quel filtre ou analyste peut chercher, puisqu’elles sont écrites dans le code source :
- l’en-tête
X-Mailer: gophish, ajouté à chaque email ; - le paramètre
riddans chaque lien, qui identifie le destinataire ; - l’en-tête
X-Gophish-Contact, si vous avez renseigné une adresse de contact dansconfig.json.
L’en-tête X-Mailer se remplace par un en-tête personnalisé dans le profil d’envoi, appliqué après celui de GoPhish. Le paramètre rid est une constante du code (models/campaign.go) : le changer impose de recompiler. Ces marqueurs pèsent surtout sur la délivrabilité, sujet de notre guide GoPhish et Microsoft 365.
Ce que GoPhish fait bien
GoPhish reste un bon outil pour ce pour quoi il a été conçu. Il est gratuit, sans fonction réservée à une version payante, et son code est lisible et modifiable. Hébergé chez vous, il garde les données de campagne sur votre infrastructure. Son API REST couvre l’ensemble des fonctions (groupes, modèles, pages, campagnes, résultats) et se scripte facilement. Pour un test d’intrusion avec un volet d’ingénierie sociale, il se déploie vite, produit des résultats exploitables et se décommissionne ensuite.
Les limites pour un programme en entreprise
Les limites apparaissent quand on passe d’un test ponctuel à un programme qui tourne toute l’année.
Rien ne se passe après le clic
Quand un collaborateur clique, GoPhish affiche la page que vous avez préparée, par exemple « C’était un exercice ». Le reste est à construire ailleurs : la formation adaptée au type d’attaque, les relances, le suivi de complétion. La simulation mesure l’erreur sans aider la personne à progresser, alors que c’est la répétition avec formation qui fait baisser le taux de clic : chez les clients de KnowBe4, il passe en moyenne de 33,1 % à 4,1 % après douze mois de programme (KnowBe4, Phishing by Industry Benchmarking Report 2025).
Les modèles en français sont à écrire
GoPhish ne fournit aucune bibliothèque de scénarios. Chaque email et chaque page d’atterrissage s’écrivent à la main, en HTML compatible avec Outlook, Gmail et les clients mobiles, puis se testent contre vos filtres. Les modèles partagés par la communauté sont presque tous en anglais, alors que les leurres qui piègent en France imitent les impôts, les transporteurs, les fournisseurs ou les outils Microsoft en français. Pour un programme varié sur l’année, ce travail revient à chaque campagne. Pour le cadrer, notre kit de conception de campagnes GoPhish propose 18 thèmes de fraude courants en France, avec les signaux à placer et le message de débrief de chacun.
Un suivi limité à la campagne
Le tableau de bord suit chaque campagne (emails envoyés, ouverts, liens cliqués, données saisies, et signalements si vous avez configuré une boîte IMAP de signalement, depuis la version 0.9.0) et montre l’évolution d’une campagne à l’autre. Il n’a ni score de risque par personne ou par département, ni rapport PDF pour la direction ou un auditeur. Ces vues se construisent à la main, à partir de l’API ou des exports. Et GoPhish ne répond pas au salarié qui signale un vrai email suspect.
La délivrabilité reste à votre charge
Un domaine d’envoi neuf, sans historique, est pénalisé par les filtres. Il faut l’authentifier (SPF, DKIM, DMARC), le faire monter en charge progressivement, déclarer les simulations dans votre messagerie, et surveiller ce qui finit en spam. Chaque changement côté Microsoft ou Google peut remettre ce travail en cause. Notre guide GoPhish et Microsoft 365 détaille la méthode.
Des listes de destinataires à tenir à la main
Les destinataires s’importent par fichier CSV ou par l’API. GoPhish ne se synchronise pas avec Active Directory ou Entra ID et ne propose pas d’authentification unique : chaque arrivée, départ ou changement de service se reporte à la main.
Le RGPD repose entièrement sur vous
En hébergeant GoPhish, vous êtes seul responsable des données collectées : adresses, résultats nominatifs et, si la capture est activée, mots de passe stockés en clair. Inscription au registre, information des salariés, sécurisation du serveur et notification à la CNIL sous 72 heures en cas de violation vous reviennent. Un serveur de simulation compromis est une violation de données comme une autre.
Quand GoPhish reste le bon choix
GoPhish garde tout son sens dans quatre situations :
- un consultant en test d’intrusion qui mène un audit d’ingénierie sociale pour un client, avec un serveur monté puis détruit pour l’occasion ;
- un enseignant ou un chercheur qui veut montrer ou étudier le fonctionnement d’une campagne ;
- une équipe technique qui veut un premier chiffre avant de choisir un outil ;
- une structure sans aucun budget mais avec un administrateur disponible, pour qui l’alternative serait de ne rien faire.
Dans ces cas, appliquez les règles de sécurité ci-dessus et éteignez le serveur à la fin du test.
L’alternative hébergée
Si votre besoin est un programme continu plutôt qu’un test, une plateforme hébergée retire du périmètre le serveur, ses failles et ses mises à jour. nophi.sh, par exemple, fournit 80 scénarios en français et en anglais, assigne une formation après le clic, produit un rapport d’audit PDF et héberge les données en France, dès 99 € HT par mois. Le comparatif GoPhish détaille les différences et le temps que représente l’exploitation de GoPhish ; l’essai de 14 jours permet de tester sur vos propres boîtes.
Questions fréquentes
GoPhish est-il encore maintenu en 2026 ?
Au ralenti. La dernière version publiée, la 0.12.1, date du 14 septembre 2022. La branche principale a reçu ses derniers commits le 23 septembre 2024, sans nouvelle version depuis. Au 13 octobre 2026, le dépôt GitHub compte 678 issues et 85 pull requests ouvertes. Le projet n’est pas archivé, mais aucun éditeur n’en assure le support.
Quelles failles touchent GoPhish 0.12.1 ?
Au 13 octobre 2026, la base NVD recense douze vulnérabilités (CVE) qui visent la version 0.12.1, publiées entre mars 2023 et octobre 2026 : prise de contrôle des objets d’autres utilisateurs, accès à l’API malgré un compte verrouillé, mots de passe SMTP et IMAP lisibles en clair, failles XSS, SSRF et déni de service. Aucune version publiée ne les corrige.
Peut-on encore utiliser GoPhish sans risque ?
Pour un test ponctuel, oui, avec des précautions : interface d’administration jamais exposée sur internet, comptes réservés à des administrateurs de confiance, capture des mots de passe désactivée, identifiants SMTP dédiés, serveur éteint entre deux campagnes. Pour un programme qui tourne toute l’année, ces précautions deviennent une charge permanente.
GoPhish mesure-t-il les signalements ?
Oui, s’il est configuré pour. Depuis la version 0.9.0, GoPhish peut relever une boîte IMAP de signalement et marquer comme signalés les emails de campagne qu’il y trouve. Il ne répond pas au salarié qui transfère un vrai email suspect.
Comment un filtre repère-t-il un email envoyé par GoPhish ?
Par défaut, chaque email envoyé par GoPhish porte l’en-tête X-Mailer: gophish, et chaque lien contient le paramètre rid qui identifie le destinataire. Ces marqueurs figurent dans le code source public. L’en-tête se remplace par un en-tête personnalisé dans le profil d’envoi ; changer le paramètre rid demande de recompiler GoPhish.
Existe-t-il une alternative hébergée à GoPhish ?
Oui. Une plateforme hébergée comme nophi.sh prend en charge le serveur, les mises à jour et l’envoi, et ajoute ce que GoPhish n’a pas : scénarios en français, formation après le clic, rapport d’audit, hébergement en France. Notre comparatif GoPhish détaille les différences.