Ugrás a tartalomhoz
Centoculus
hu

Biztonsági riasztás · Magas

Mittwald tárhely elleni támadás MCP-szerveren keresztül: az adminisztrációs szolgáltatások offline állapotban, az ügyfeleknek ellenőrzést javasolt végezniük

· 5 perc olvasás · Centoculus Security Team

Ismert óta · igazolt támadások óta

Érintett: A Mittwald webtárhely-szolgáltató ügyfelei

Mi történt

  1. november 12-én a heise arról számolt be, hogy a német Mittwald webtárhely-szolgáltatót egy MCP-szerveren keresztül támadás érte. Az MCP- (Model Context Protocol) szerverek eszközöket és automatizálást kapcsolnak más szolgáltatásokhoz és adatokhoz. A Mittwald jelenleg vészüzemmódban működik. Weboldala korlátozott módban fut, blogja offline állapotban van, az ügyfelek adminisztrációs szolgáltatásait pedig kikapcsolták.

A rendelkezésünkre álló beszámoló nem közli, hogyan jutottak be a támadók az MCP-szerveren keresztül, mely rendszereket értek el, illetve érintette-e az ügyféladatokat, weboldalakat vagy hozzáférési adatokat. Ezekben a kérdésekben minden állítást nyitottnak kell tekinteni, amíg a Mittwald meg nem erősíti.

Ki van veszélyben

  • Azok az ügynökségek, vállalatok és magánszemélyek, amelyek weboldalakat, webshopokat vagy más szolgáltatásokat üzemeltetnek a Mittwaldnál.
  • Végfelhasználóik, ha a hozzáférési adatok vagy a weboldalak nyilvánosságra kerültek. Ez eddig nem nyert megerősítést.

Ha Ön nem tárol semmit a Mittwaldnál, és nem csatlakozik Mittwald-szolgáltatásokhoz, az incidens közvetlenül nem érinti.

Mit tegyen most

  1. Kizárólag a Mittwald hivatalos csatornáiról tájékozódjon. Számítson az incidenst ürügyként használó adathalász e-mailekre és hívásokra. Váratlan üzenetekben található hivatkozásokon keresztül ne adjon meg hitelesítő adatokat, és hívóknak ne adjon ki hozzáférési adatokat.
  2. Ne hajtson végre elhamarkodott módosításokat, amíg az adminisztrációs szolgáltatások offline állapotban vannak. Jegyezze fel, mely projektjei, domainjei és fiókjai vannak a Mittwaldnál, hogy később gyorsan végig tudja őket ellenőrizni.
  3. A hozzáférés helyreállítása után módosítsa Mittwald-ügyfélfiókjai jelszavait, és kapcsolja be a kétfaktoros hitelesítést, ahol erre lehetőség van.
  4. Cserélje le a Mittwaldnál tárolt vagy azzal használt további hitelesítő adatokat: API-tokeneket, SSH-kulcsokat, FTP/SFTP- és adatbázisjelszavakat, valamint postafiókjelszavakat. Módosítsa az ott üzemeltetett oldalak CMS- és webshop-adminisztrátori fiókjainak jelszavait is.
  5. Ha Ön maga kapcsolt MCP-szervereket, MI-eszközöket vagy más automatizálást a tárhelyfiókjaihoz, vonja vissza azok tokenjeit, és állítson ki újakat a lehető legkevesebb szükséges joggal.
  6. Győződjön meg arról, hogy minden oldalról van naprakész, a Mittwalddal nem összefüggő helyen tárolt biztonsági mentése. Az régebbi mentéseket még ne írja felül, mert szüksége lehet egy ismert, megbízható állapotra.
  7. Tájékoztassa saját ügyfeleit közérthetően a történtekről, és a Mittwald közleményeit a megjelenésükkor adja tovább.

Hogyan ellenőrizhető, hogy érintett-e

  • Az adminisztrációs szolgáltatások helyreállása után tekintse át Mittwald-fiókjaiban a fiókaktivitást, a felhasználói és hozzáférési listákat, valamint az SSH-kulcsokat és API-tokeneket. Keressen minden olyan elemet, amelyet nem Ön hozott létre.
  • Hasonlítsa össze weboldalai fájljait saját biztonsági mentéseivel vagy Git-tárolóival. Keressen új vagy módosított PHP-fájlokat, ismeretlen adminisztrátori felhasználókat a CMS-ben vagy a webshopban, valamint módosított DNS-rekordokat vagy levéltovábbításokat.
  • Ellenőrizze oldalai hozzáférési és hibanaplóit a 2026. november 12. körüli napokra vonatkozóan szokatlan bejelentkezések vagy feltöltések után kutatva.
  • Kövesse a Mittwald tájékoztatásait arról, mely rendszerek és adatok érintettek. Ha a Mittwald megerősíti, hogy ügyféladatok vagy hozzáférési adatok nyilvánosságra kerültek, mérlegelje a saját adatvédelmi bejelentési kötelezettségeit.

Frissítés: 2026. november 14.

A Mittwald most azt állítja, hogy a támadó a Mittwald saját MCP-szerverében lévő sebezhetőséget használta ki, amely lehetővé teszi, hogy az ügyfelek összekapcsolják az mStudio adminisztrációs platformot MI-asszisztensekkel. Ezen keresztül a támadó munkamenet-tokeneket olvasott ki, és 56 ügyfélprojekthez férhetett hozzá. A Mittwald szerint jelszavakat nem olvastak ki, és minden munkamenet-token visszavonásra került. Az érintett ügyfeleket személyes e-mailben értesítik. A jelentések szerint a támadó 2026. október 21-én kezdte el vizsgálni a hibát, október 27-én használta ki, és november 4-én derült ki a támadás. A Mittwald november 5-én letiltotta az MCP-szervert, az mStudio-t és az SSH-t, később ismét engedélyezte a hozzáférést, majd november 12-re virradóra ismét leállította az SSH-t, az mStudio-t és az ügyfélközpontot. A weboldalak és a postafiókok továbbra is elérhetők maradtak. A Mittwald szerint saját weboldalát nem törték fel és nem rongálták meg.

Források

Kapcsolódó bejegyzések