Preskoči na sadržaj
Centoculus
hr

Sigurnosno upozorenje · Visoka

Mittwald hosting napadnut preko MCP servera: administratorske usluge offline, korisnici bi trebali provjeriti

· Vrijeme čitanja: 4 min · Centoculus Security Team

Poznato od · napadi potvrđeni od

Pogođeno: Korisnici web hosting tvrtke Mittwald

Što se dogodilo

Dana 12. studenoga 2026. heise je izvijestio da je njemački web hosting pružatelj Mittwald bio napadnut preko MCP servera. MCP (Model Context Protocol) serveri povezuju alate i automatizaciju s drugim uslugama i podacima. Mittwald je sada u stanju izvanredne situacije. Njegova web stranica radi u ograničenom načinu rada, blog je offline, a administratorske usluge za korisnike isključene su.

Izvješće kojim raspolažemo ne navodi kako su napadači ušli preko MCP servera, kojim su sustavima pristupili niti jesu li bili pogođeni podaci korisnika, web stranice ili pristupni podaci. Sve tvrdnje o tim pitanjima smatrajte neizvjesnima dok ih Mittwald ne potvrdi.

Tko je u riziku

  • Agencije, tvrtke i pojedinci koji kod Mittwalda hostaju web stranice, web trgovine ili druge usluge.
  • Njihovi krajnji korisnici, ako su pristupni podaci ili web stranice bili izloženi. To do sada nije potvrđeno.

Ako kod Mittwalda ništa ne hostate i ne povezujete se s Mittwald uslugama, ovaj incident vas izravno ne pogađa.

Što učiniti sada

  1. Informacije preuzimajte samo iz Mittwaldovih službenih kanala. Očekujte phishing e-poruke i pozive koji iskorištavaju ovaj incident. Ne unosite vjerodajnice putem poveznica u neočekivanim porukama i ne dajte pristupne podatke pozivateljima.
  2. Dok su administratorske usluge offline, nemojte žurno raditi promjene. Zapišite koje projekte, domene i račune imate kod Mittwalda kako biste ih kasnije brzo mogli proći.
  3. Kada pristup ponovno bude dostupan, promijenite lozinke svojih Mittwald korisničkih računa i uključite dvofaktorsku autentifikaciju tamo gdje je ponuđena.
  4. Zamijenite ostale vjerodajnice koje su bile pohranjene kod Mittwalda ili korištene s njim: API tokene, SSH ključeve, FTP/SFTP i lozinke baza podataka te lozinke e-poštanskih sandučića. Također promijenite lozinke administratorskih računa CMS-a i web trgovina na stranicama hostanim tamo.
  5. Ako ste sami povezali MCP servere, AI alate ili drugu automatizaciju sa svojim hosting računima, opozovite njihove tokene i izdajte nove s najmanjim pravima koja su im potrebna.
  6. Provjerite imate li aktualnu sigurnosnu kopiju svake stranice koju čuvate izvan Mittwalda. Još ne prepisujte starije sigurnosne kopije, jer vam može trebati poznato ispravno stanje.
  7. Svojim korisnicima jasno objasnite što se dogodilo i prosljeđujte Mittwaldova priopćenja onako kako budu objavljena.

Kako provjeriti jeste li pogođeni

  • Kada administratorske usluge ponovno budu dostupne, pregledajte aktivnost računa, popise korisnika i pristupa te SSH ključeve i API tokene na svojim Mittwald računima. Tražite sve što niste sami stvorili.
  • Usporedite datoteke svojih web stranica sa svojim sigurnosnim kopijama ili Git repozitorijima. Tražite nove ili promijenjene PHP datoteke, nepoznate administratorske korisnike u vašem CMS-u ili web trgovini te promijenjene DNS zapise ili preusmjeravanja e-pošte.
  • Provjerite zapise pristupa i grešaka svojih stranica za dane oko 12. studenoga 2026. radi neobičnih prijava ili prijenosa datoteka.
  • Pratite Mittwaldova obavještenja o tome koji su sustavi i podaci bili pogođeni. Ako Mittwald potvrdi da su podaci korisnika ili pristupne vjerodajnice bili izloženi, razmotrite svoje vlastite obveze prijavljivanja u skladu sa zaštitom osobnih podataka.

Ažuriranje 14. studenoga 2026.

Mittwald sada navodi da je napadač iskoristio ranjivost u vlastitom MCP poslužitelju tvrtke Mittwald, koji kupcima omogućuje povezivanje administratorske platforme mStudio s AI asistentima. Preko nje je napadač pročitao tokene sesija i dobio pristup u 56 projekata kupaca. Prema tvrtki Mittwald, lozinke nisu bile pročitane, a svi tokeni sesija su opozvani. Kupci na koje se incident odnosi obaviješteni su osobnom e-porukom. Izvješća navode da je napadač ranjivost prvi put testirao 21. listopada 2026., iskoristio ju je 27. listopada i otkriven je 4. studenoga. Mittwald je 5. studenoga blokirao MCP poslužitelj, mStudio i SSH, kasnije je ponovno uključio pristup, a zatim je u noći s 12. na 13. studenoga ponovno isključio SSH, mStudio i kupčki centar. Web stranice i poštanski sandučići ostali su dostupni. Mittwald tvrdi da njegova vlastita web stranica nije preuzeta niti izmijenjena.

Izvori

Srodni članci