Ir al contenido
Centoculus
es

Alerta de seguridad · Alta

Ataque al hosting de Mittwald a través de un servidor MCP: servicios de administración fuera de línea, los clientes deben revisar

· 4 minutos de lectura · Centoculus Security Team

Conocida desde el · ataques confirmados desde el

Afectados: Clientes del proveedor de alojamiento web Mittwald

Qué ha ocurrido

El 12 de noviembre de 2026, heise informó de que el proveedor de alojamiento web alemán Mittwald había sido atacado a través de un servidor MCP. Los servidores MCP (Model Context Protocol) conectan herramientas y automatizaciones con otros servicios y datos. Mittwald se encuentra ahora en modo de emergencia. Su sitio web funciona con un modo limitado, su blog está fuera de línea y los servicios de administración para clientes están desactivados.

El informe que tenemos no indica cómo entraron los atacantes a través del servidor MCP, a qué sistemas accedieron ni si se vieron afectados datos de clientes, sitios web o credenciales de acceso. Considere cualquier afirmación sobre estos puntos como no confirmada hasta que Mittwald la verifique.

Quién está en riesgo

  • Agencias, empresas y particulares que alojan sitios web, tiendas online u otros servicios en Mittwald.
  • Sus propios clientes finales, si se expusieron datos de acceso o sitios web. Hasta ahora no se ha confirmado.

Si usted no aloja nada en Mittwald y no se conecta a sus servicios, este incidente no le afecta directamente.

Qué hacer ahora

  1. Obtenga información solo a través de los canales oficiales de Mittwald. Espere correos electrónicos y llamadas de phishing que aprovechen el incidente como pretexto. No introduzca credenciales a través de enlaces en mensajes inesperados y no facilite datos de acceso a personas que llamen.
  2. No realice cambios apresurados mientras los servicios de administración estén fuera de línea. Anote qué proyectos, dominios y cuentas tiene en Mittwald para poder revisarlos rápidamente más adelante.
  3. Cuando el acceso se restablezca, cambie las contraseñas de sus cuentas de cliente de Mittwald y active la autenticación de dos factores donde se ofrezca.
  4. Renueve otras credenciales que se almacenaron en Mittwald o se usaron con él: tokens de API, claves SSH, contraseñas de FTP/SFTP y de bases de datos, y contraseñas de buzones de correo. Cambie también las contraseñas de las cuentas de administración de gestores de contenidos y tiendas online de los sitios alojados allí.
  5. Si usted mismo conectó servidores MCP, herramientas de IA u otras automatizaciones a sus cuentas de alojamiento, revoque sus tokens y emita otros nuevos con los mínimos permisos necesarios.
  6. Asegúrese de tener una copia de seguridad actual de cada sitio que mantenga fuera de Mittwald. No sobrescriba todavía las copias más antiguas, ya que puede necesitar un estado conocido y correcto.
  7. Explique a sus propios clientes lo ocurrido en términos sencillos y transmita las declaraciones de Mittwald a medida que se publiquen.

Cómo comprobar si se ha visto afectado

  • Cuando los servicios de administración vuelvan a estar disponibles, revise la actividad de las cuentas, las listas de usuarios y accesos, y las claves SSH y los tokens de API de sus cuentas de Mittwald. Busque cualquier elemento que usted no haya creado.
  • Compare los archivos de sus sitios web con sus copias de seguridad o con sus repositorios Git. Busque archivos PHP nuevos o modificados, usuarios administradores desconocidos en su gestor de contenidos o tienda online, y registros DNS o reenvíos de correo modificados.
  • Revise los registros de acceso y de errores de sus sitios de los días en torno al 12 de noviembre de 2026 en busca de inicios de sesión o subidas de archivos inusuales.
  • Siga las actualizaciones de Mittwald sobre qué sistemas y datos se vieron afectados. Si Mittwald confirma que se expusieron datos de clientes o credenciales de acceso, valore sus propias obligaciones de notificación en materia de protección de datos.

Actualización del 14 de noviembre de 2026

Mittwald afirma ahora que el atacante utilizó una vulnerabilidad en el propio servidor MCP de Mittwald, que permite a los clientes conectar la plataforma de administración mStudio con asistentes de IA. A través de ella, el atacante leyó tokens de sesión y accedió a 56 proyectos de clientes. Según Mittwald, no se leyeron contraseñas y todos los tokens de sesión han sido revocados. Los clientes afectados son informados por correo electrónico personal. Según los informes, el atacante sondeó por primera vez la vulnerabilidad el 21 de octubre de 2026, la utilizó el 27 de octubre y fue detectado el 4 de noviembre. Mittwald bloqueó el servidor MCP, mStudio y SSH el 5 de noviembre, restableció el acceso más tarde y volvió a cortar SSH, mStudio y el centro de clientes durante la noche del 12 de noviembre. Los sitios web y los buzones de correo han seguido accesibles. Mittwald afirma que su propio sitio web no fue tomado ni desfigurado.

Fuentes

Otros artículos