Aller au contenu
Centoculus
fr

Alerte de sécurité · Élevée

Hébergeur Mittwald attaqué via un serveur MCP : services d'administration hors ligne, les clients doivent vérifier

· 5 minutes de lecture · Centoculus Security Team

Connue depuis le · attaques confirmées depuis le

Concernés: Clients de l'hébergeur web Mittwald

Ce qui s'est passé

Le 12 novembre 2026, heise a rapporté que l'hébergeur web allemand Mittwald avait été attaqué via un serveur MCP. Les serveurs MCP (Model Context Protocol) relient des outils et des automatisations à d'autres services et données. Mittwald est désormais en mode d'urgence. Son site web fonctionne en mode limité, son blog est hors ligne et les services d'administration destinés aux clients sont désactivés.

Le rapport dont nous disposons ne précise pas comment les attaquants ont pénétré via le serveur MCP, quels systèmes ils ont atteints, ni si des données clients, des sites web ou des identifiants d'accès ont été touchés. Considérez toute affirmation sur ces points comme non confirmée tant que Mittwald ne l'aura pas validée.

Qui est concerné

  • Les agences, entreprises et particuliers qui hébergent des sites web, des boutiques en ligne ou d'autres services chez Mittwald.
  • Leurs propres clients, si des données d'accès ou des sites web ont été exposés. Ce point n'a pas été confirmé à ce jour.

Si vous n'hébergez rien chez Mittwald et ne vous connectez à aucun service Mittwald, cet incident ne vous touche pas directement.

Que faire maintenant

  1. Ne recueillez des informations que auprès des canaux officiels de Mittwald. Attendez-vous à des courriels et appels d'hameçonnage qui exploitent cet incident. Ne saisissez pas vos identifiants via des liens figurant dans des messages inattendus, et ne communiquez pas vos données d'accès à des interlocuteurs téléphoniques.
  2. Évitez les modifications précipitées pendant que les services d'administration sont hors ligne. Notez les projets, domaines et comptes que vous avez chez Mittwald afin de pouvoir les traiter rapidement plus tard.
  3. Une fois l'accès rétabli, modifiez les mots de passe de vos comptes clients Mittwald et activez l'authentification à deux facteurs là où elle est proposée.
  4. Renouvelez les autres identifiants stockés chez Mittwald ou utilisés avec ses services : jetons API, clés SSH, mots de passe FTP/SFTP et de bases de données, et mots de passe de boîtes mail. Modifiez également les mots de passe des comptes administrateur de vos CMS et boutiques en ligne hébergés chez Mittwald.
  5. Si vous avez vous-même connecté des serveurs MCP, des outils d'IA ou d'autres automatisations à vos comptes d'hébergement, révoquez leurs jetons et générez-en de nouveaux avec le minimum de droits nécessaires.
  6. Assurez-vous de disposer d'une sauvegarde récente de chaque site que vous conservez hors de Mittwald. Ne remplacez pas encore vos anciennes sauvegardes, car vous pourriez avoir besoin d'un état sain connu.
  7. Informez vos propres clients de ce qui s'est passé, en termes simples, et transmettez les déclarations de Mittwald telles qu'elles sont publiées.

Comment vérifier si vous avez été touché

  • Une fois les services d'administration rétablis, contrôlez l'activité des comptes, les listes d'utilisateurs et d'accès, ainsi que les clés SSH et jetons API de vos comptes Mittwald. Recherchez tout élément que vous n'avez pas créé.
  • Comparez les fichiers de vos sites avec vos sauvegardes ou vos dépôts Git. Recherchez les fichiers PHP nouveaux ou modifiés, les utilisateurs administrateurs inconnus dans votre CMS ou votre boutique, ainsi que les enregistrements DNS ou les redirections de messagerie modifiés.
  • Examinez les journaux d'accès et d'erreurs de vos sites pour les jours entourant le 12 novembre 2026, à la recherche de connexions ou de téléversements inhabituels.
  • Suivez les mises à jour de Mittwald sur les systèmes et données touchés. Si Mittwald confirme que des données clients ou des identifiants d'accès ont été exposés, évaluez vos propres obligations de notification en matière de protection des données.

Mise à jour du 14 novembre 2026

Mittwald indique désormais que l'attaquant a exploité une vulnérabilité dans le propre serveur MCP de Mittwald, qui permet aux clients de connecter la plateforme d'administration mStudio à des assistants d'IA. Par ce biais, l'attaquant a lu des jetons de session et a accédé à 56 projets clients. Selon Mittwald, les mots de passe n'ont pas été lus et tous les jetons de session ont été révoqués. Les clients concernés sont informés par e-mail personnel. Selon les rapports, l'attaquant a d'abord sondé la faille le 21 octobre 2026, l'a exploitée le 27 octobre et a été détecté le 4 novembre. Mittwald a bloqué le serveur MCP, mStudio et SSH le 5 novembre, a rétabli l'accès plus tard, puis a de nouveau coupé SSH, mStudio et le centre clients dans la nuit du 12 novembre. Les sites web et les boîtes aux lettres sont restés accessibles. Mittwald affirme que son propre site web n'a pas été pris en contrôle ni défiguré.

Sources

Autres articles