Vai al contenuto
Centoculus
it

Avviso di sicurezza · Alta

Hosting Mittwald attaccato tramite server MCP: servizi di amministrazione offline, i clienti verifichino

· 4 minuti di lettura · Centoculus Security Team

Nota dal · attacchi confermati dal

Interessati: Clienti del provider di hosting Mittwald

Cosa è successo

Il 12 novembre 2026 heise ha riferito che il provider di hosting tedesco Mittwald era stato attaccato tramite un server MCP. I server MCP (Model Context Protocol) collegano strumenti e automazioni ad altri servizi e dati. Mittwald si trova ora in modalità di emergenza. Il suo sito web funziona in modalità limitata, il suo blog è offline e i servizi di amministrazione per i clienti sono disattivati.

La segnalazione in nostro possesso non specifica come gli aggressori siano entrati tramite il server MCP, a quali sistemi abbiano avuto accesso o se siano stati coinvolti dati dei clienti, siti web o credenziali di accesso. Consigliamo di considerare aperte tutte le affermazioni su questi punti finché Mittwald non le confermerà.

Chi è a rischio

  • Agenzie, aziende e privati che ospitano siti web, negozi online o altri servizi presso Mittwald.
  • I loro clienti finali, nel caso in cui siano stati esposti dati di accesso o siti web. Finora non è stato confermato.

Se Lei non ospita nulla presso Mittwald e non si collega ai servizi Mittwald, questo incidente non La riguarda direttamente.

Cosa fare ora

  1. Si informi solo tramite i canali ufficiali di Mittwald. Si aspetti email e chiamate di phishing che sfruttano l'incidente come pretesto. Non inserisca credenziali tramite link contenuti in messaggi inattesi e non fornisca dati di accesso a chi telefona.
  2. Non apporti modifiche affrettate mentre i servizi di amministrazione sono offline. Annoti quali progetti, domini e account ha presso Mittwald, così da poterli verificare rapidamente in seguito.
  3. Quando l'accesso sarà ripristinato, cambi le password degli account clienti Mittwald e attivi l'autenticazione a due fattori dove è offerta.
  4. Sostituisca le altre credenziali memorizzate presso Mittwald o utilizzate con essa: token API, chiavi SSH, password FTP/SFTP e database, e password delle caselle di posta. Cambi inoltre le password degli account amministratore di CMS e negozi online sui siti ospitati.
  5. Se ha collegato lei stesso server MCP, strumenti di intelligenza artificiale o altre automazioni ai Suoi account di hosting, revochi i relativi token e ne emetta di nuovi con i minimi diritti necessari.
  6. Assicuri di disporre di un backup aggiornato di ogni sito conservato al di fuori di Mittwald. Non sovrascriva ancora i backup più vecchi, perché potrebbe aver bisogno di uno stato noto e integro.
  7. Informi i Suoi clienti di quanto accaduto in modo chiaro e trasmetta le dichiarazioni di Mittwald man mano che vengono pubblicate.

Come verificare se si è stati colpiti

  • Non appena i servizi di amministrazione saranno di nuovo attivi, controlli l'attività degli account, gli elenchi di utenti e accessi, e le chiavi SSH e i token API nei Suoi account Mittwald. Cerchi qualsiasi elemento che non ha creato.
  • Confronti i file dei Suoi siti web con i Suoi backup o con i Suoi repository Git. Cerchi file PHP nuovi o modificati, utenti amministratori sconosciuti nel Suo CMS o negozio online, e record DNS o inoltri di posta modificati.
  • Controlli i log di accesso ed errore dei Suoi siti relativi ai giorni intorno al 12 novembre 2026, alla ricerca di accessi o caricamenti insoliti.
  • Segua gli aggiornamenti di Mittwald su quali sistemi e dati siano stati coinvolti. Se Mittwald confermerà che dati dei clienti o credenziali di accesso sono stati esposti, valuti i Suoi obblighi di segnalazione in materia di protezione dei dati.

Aggiornamento del 14 novembre 2026

Mittwald gibt nun an, dass der Angreifer eine Schwachstelle im eigenen MCP-Server von Mittwald ausgenutzt hat, über den Kunden die Verwaltungsplattform mStudio mit KI-Assistenten verbinden können. Über diese Schwachstelle hat der Angreifer Session-Token ausgelesen und sich Zugang zu 56 Kundenprojekten verschafft. Laut Mittwald wurden keine Passwörter ausgelesen, und alle Session-Token wurden widerrufen. Betroffene Kunden werden per persönlicher E-Mail benachrichtigt. Berichten zufolge hat der Angreifer die Schwachstelle erstmals am 21. Oktober 2026 getestet, sie am 27. Oktober ausgenutzt und am 4. November entdeckt. Mittwald hat den MCP-Server, mStudio und SSH am 5. November gesperrt, den Zugang später wieder freigeschaltet und SSH, mStudio sowie das Kundencenter in der Nacht zum 12. November erneut abgeschaltet. Websites und E-Mail-Postfächer sind weiterhin erreichbar. Mittwald erklärt, dass die eigene Website nicht übernommen oder verunstaltet wurde.

Fonti

Altri articoli