Gå til indholdet
Centoculus
da

Sikkerhedsadvarsel · Høj

Mittwald-hosting angrebet via MCP-server: admintjenester offline, kunder bør kontrollere

· 4 minutters læsning · Centoculus Security Team

Kendt siden · angreb bekræftet siden

Berørt: Kunder hos webhosteren Mittwald

Hvad er sket

Den 12. november 2026 meldte heise, at den tyske webhoster Mittwald var blevet angrebet via en MCP-server. MCP-servere (Model Context Protocol) forbinder værktøjer og automatisering med andre tjenester og data. Mittwald er nu i nødtilstand. Hjemmesiden kører i begrænset tilstand, bloggen er offline, og admintjenesterne for kunderne er slukket.

Den melding, vi har, siger ikke, hvordan angriberne kom ind via MCP-serveren, hvilke systemer de nåede, eller om kundedata, websites eller adgangsoplysninger er berørt. Behandl alle udsagn om disse punkter som åbne, indtil Mittwald bekræfter dem.

Hvem er i risiko

  • Bureauer, virksomheder og privatpersoner, der hoster websites, webshops eller andre tjenester hos Mittwald.
  • Deres slutkunder, hvis adgangsdata eller websites er blevet eksponeret. Dette er indtil videre ikke bekræftet.

Hvis du ikke hoster noget hos Mittwald og ikke forbinder dig til Mittwald-tjenester, rammer denne hændelse dig ikke direkte.

Hvad du bør gøre nu

  1. Hent kun information fra Mittwalds officielle kanaler. Forvent phishing-mails og opkald, der bruger hændelsen som dække. Indtast ikke loginoplysninger via links i uventede beskeder, og giv ikke adgangsdata til personer, der ringer til dig.
  2. Lav ikke hastende ændringer, mens admintjenesterne er offline. Skriv ned, hvilke projekter, domæner og konti du har hos Mittwald, så du kan gennemgå dem hurtigt senere.
  3. Når adgangen er tilbage, skal du ændre adgangskoderne til dine Mittwald-kundekonti og slå tofaktorgodkendelse til, hvor det tilbydes.
  4. Skift andre legitimationsoplysninger, der er gemt hos eller brugt sammen med Mittwald: API-tokens, SSH-nøgler, FTP/SFTP- og databaseadgangskoder samt adgangskoder til mailbokse. Skift også adgangskoderne til CMS- og shop-adminkonti på websites, der hostes der.
  5. Hvis du selv har forbundet MCP-servere, AI-værktøjer eller anden automatisering til dine hosting-konti, skal du tilbagekalde deres tokens og oprette nye med de færreste rettigheder, de har brug for.
  6. Sørg for, at du har en aktuel backup af hvert site, du opbevarer uden for Mittwald. Overskriv ikke ældre backups endnu, for du kan få brug for en kendt god tilstand.
  7. Fortæl dine egne kunder, hvad der er sket, med almindelige ord, og videregiv Mittwalds udmeldinger, som de offentliggøres.

Sådan tjekker du, om du er ramt

  • Når admintjenesterne er tilbage, skal du gennemgå kontoaktiviteten, bruger- og adgangslisterne samt SSH-nøglerne og API-tokens i dine Mittwald-konti. Led efter alt, du ikke selv har oprettet.
  • Sammenlign filerne på dine websites med dine egne backups eller dine Git-repositories. Led efter nye eller ændrede PHP-filer, ukendte adminbrugere i dit CMS eller din shop samt ændrede DNS-poster eller mailvideresendelser.
  • Gennemgå adgangs- og fejllogfilerne for dine websites fra dagene omkring 12. november 2026 for usædvanlige logins eller uploads.
  • Følg Mittwalds opdateringer om, hvilke systemer og data der er berørt. Hvis Mittwald bekræfter, at kundedata eller adgangsoplysninger er eksponeret, bør du overveje dine egne pligter til anmeldelse efter databeskyttelsesreglerne.

Opdatering 14. november 2026

Mittwald siger nu, at angriberen udnyttede en sårbarhed i Mittwalds egen MCP-server, som lader kunder forbinde administrationsplatformen mStudio til AI-assistenter. Gennem den læste angriberen session-tokens og kom ind i 56 kundeprojekter. Ifølge Mittwald blev adgangskoder ikke læst, og alle session-tokens er blevet tilbagekaldt. Berørte kunder får besked via personlig e-mail. Ifølge medierapporter testede angriberen først sårbarheden den 21. oktober 2026, brugte den den 27. oktober og blev opdaget den 4. november. Mittwald spærrede MCP-serveren, mStudio og SSH den 5. november, genaktiverede adgangen senere og afbrød igen SSH, mStudio og kundecenteret natten til den 12. november. Websites og postkasser har forblevet tilgængelige. Mittwald siger, at deres egen hjemmeside ikke blev overtaget eller ødelagt.

Kilder

Relaterede indlæg