Siirry sisältöön
Centoculus
fi

Tietoturvahälytys · Korkea

Mittwald-hosting hyökätty MCP-palvelimen kautta: hallintapalvelut offline, asiakkaiden kannattaa tarkistaa

· 3 minuutin lukuaika · Centoculus Security Team

Tiedossa alkaen · hyökkäykset vahvistettu alkaen

Koskee: Web-hosting-palveluntarjoaja Mittwaldin asiakkaat

Mitä tapahtui

Heise uutisoi 12. marraskuuta 2026, että saksalainen web-hosting-palveluntarjoaja Mittwald oli joutunut hyökkäyksen kohteeksi MCP-palvelimen kautta. MCP (Model Context Protocol) -palvelimet yhdistävät työkaluja ja automaatiota muihin palveluihin ja dataan. Mittwald on nyt hätätilassa. Sen verkkosivusto toimii rajoitetulla tavalla, blogi on offline-tilassa ja asiakkaiden hallintapalvelut on kytketty pois päältä.

Meillä olevassa uutisoinnissa ei kerrota, miten hyökkääjät pääsivät MCP-palvelimen kautta sisään, mihin järjestelmiin he pääsivät tai vaikuttiko hyökkäys asiakastietoihin, verkkosivustoihin tai käyttöoikeustietoihin. Käsittele kaikkia näihin liittyviä väitteitä avoimina, kunnes Mittwald vahvistaa ne.

Keitä uhka koskee

  • Toimistot, yritykset ja yksityishenkilöt, jotka isännöivät Mittwaldilla verkkosivuja, verkkokauppoja tai muita palveluita.
  • Heidän loppuasiakkaansa, jos käyttötiedot tai verkkosivut ovat vuotaneet. Tätä ei ole toistaiseksi vahvistettu.

Jos et isännöi mitään Mittwaldilla äläkä ole yhteydessä Mittwaldin palveluihin, tämä tapaus ei suoraan koske sinua.

Mitä kannattaa tehdä nyt

  1. Hae tietoa vain Mittwaldin virallisilta kanavilta. Odota huijausviestejä ja puheluita, jotka hyödyntävät tapausta. Älä syötä tunnuksiasi linkkien kautta odottamattomissa viesteissä äläkä anna käyttötietoja soittajille.
  2. Älä tee kiireellisiä muutoksia, kun hallintapalvelut ovat offline-tilassa. Kirjaa ylös, mitkä projektit, domainit ja tilit sinulla on Mittwaldilla, jotta pääset niiden läpi nopeasti myöhemmin.
  3. Kun pääsy palautuu, vaihda Mittwald-asiakastilisi salasanat ja ota käyttöön kaksivaiheinen tunnistautuminen siellä, missä sitä tarjotaan.
  4. Uusi muut tunnukset, jotka on tallennettu Mittwaldille tai joita on käytetty sen kanssa: API-tunnukset, SSH-avaimet, FTP/SFTP- ja tietokantasalasanat sekä sähköpostilaatikkojen salasanat. Vaihda myös niiden sivustojen CMS- ja verkkokauppa-ylläpitäjätilien salasanat, jotka on isännöity siellä.
  5. Jos yhdistit itse MCP-palvelimia, tekoälytyökaluja tai muuta automaatiota hosting-tileihisi, peruuta niiden tunnukset ja luo uudet, joilla on vain tarvittavat oikeudet.
  6. Varmista, että sinulla on ajantasainen varmuuskopio jokaisesta sivustosta, jota säilytät Mittwaldin ulkopuolella. Älä vielä ylikirjoita vanhempia varmuuskopioita, sillä saatat tarvita tiedossa olevan hyvän tilan.
  7. Kerro omille asiakkaillesi selkeästi, mitä tapahtui, ja välitä Mittwaldin lausunnot eteenpäin sellaisina kuin ne julkaistaan.

Miten tarkistat, oletko kärsinyt vahingon

  • Kun hallintapalvelut palautuvat, tarkista Mittwald-tilisi tilitapahtumat, käyttäjä- ja pääsylistat sekä SSH-avaimet ja API-tunnukset. Etsi kaikkea, mitä et itse luonut.
  • Vertaa verkkosivujesi tiedostoja omiin varmuuskopioihisi tai Git-repositorioihisi. Etsi uusia tai muuttuneita PHP-tiedostoja, tuntemattomia ylläpitäjiä CMS:ssä tai verkkokaupassa sekä muuttuneita DNS-tietueita tai sähköpostin uudelleenohjauksia.
  • Tarkista sivustojesi käyttö- ja virhelokit 12. marraskuuta 2026 ympäriltä mahdollisten epätavallisten kirjautumisten tai latausten varalta.
  • Seuraa Mittwaldin tiedotteita siitä, mitkä järjestelmät ja tiedot vaikuttivat. Jos Mittwald vahvistaa, että asiakastietoja tai käyttötunnuksia on vuotanut, harkitse omia tietosuojaan liittyviä ilmoitusvelvollisuuksiasi.

Päivitys lauantai 14. marraskuuta 2026

Mittwald sanoo nyt, että hyökkääjä käytti hyväkseen haavoittuvuutta Mittwaldin omassa MCP-palvelimessa, jonka kautta asiakkaat voivat yhdistää mStudio-hallintoalustan tekoälyavustajiin. Tämän kautta hyökkääjä luki istuntotunnisteita ja pääsi 56 asiakasprojektiin. Mittwaldin mukaan salasanoja ei luettu, ja kaikki istuntotunnisteet on mitätöity. Vaikuttuneille asiakkaille ilmoitetaan henkilökohtaisella sähköpostilla. Raporttien mukaan hyökkääjä kokeili ensin haavoittuvuutta 21. lokakuuta 2026, käytti sitä 27. lokakuuta ja hänet havaittiin 4. marraskuuta. Mittwald esti MCP-palvelimen, mStudion ja SSH:n 5. marraskuuta, palautti pääsyn myöhemmin ja katkaisi SSH:n, mStudion ja asiakaskeskuksen uudelleen 12. marraskuuta yöllä. Verkkosivut ja postilaatikot ovat pysyneet tavoitettavina. Mittwald sanoo, ettei sen omaa verkkosivustoa ole kaapattu eikä sitä ole muokattu vahingollisesti.

Lähteet

Aiheeseen liittyvät artikkelit