Naar de inhoud
Centoculus
nl

Beveiligingsmelding · Hoog

Hosting-provider Mittwald aangevallen via MCP-server: beheerdiensten offline, klanten moeten controleren

· 4 minuten leestijd · Centoculus Security Team

Bekend sinds · bevestigde aanvallen sinds

Getroffen: Klanten van webhoster Mittwald

Wat er is gebeurd

Op 12 november 2026 meldde heise dat de Duitse webhoster Mittwald was aangevallen via een MCP-server. MCP (Model Context Protocol)-servers verbinden tools en automatisering met andere diensten en gegevens. Mittwald werkt nu in noodmodus. De website draait in een beperkte modus, de blog is offline en de beheerdiensten voor klanten zijn uitgeschakeld.

In het bericht dat wij hebben, staat niet hoe de aanvallers via de MCP-server zijn binnengekomen, welke systemen zij hebben bereikt, of klantgegevens, websites of toegangsgegevens zijn getroffen. Beschouw elke uitspraak over deze punten als open totdat Mittwald die bevestigt.

Wie loopt risico

  • Bureaus, bedrijven en particulieren die websites, webwinkels of andere diensten bij Mittwald hosten.
  • Hun eindklanten, als toegangsgegevens of websites zijn blootgesteld. Dit is tot nu toe niet bevestigd.

Als u niets bij Mittwald host en niet met Mittwald-diensten verbonden bent, heeft dit incident u niet rechtstreeks getroffen.

Wat u nu moet doen

  1. Haal informatie alleen op via de officiële kanalen van Mittwald. Verwacht phishingberichten en telefoontjes die het incident als voorwendsel gebruiken. Voer uw inloggegevens niet in via links in onverwachte berichten en geef geen toegangsgegevens aan bellers.
  2. Doe geen overhaaste wijzigingen terwijl de beheerdiensten offline zijn. Noteer welke projecten, domeinen en accounts u bij Mittwald heeft, zodat u ze later snel kunt doorlopen.
  3. Zodra de toegang is hersteld, wijzigt u de wachtwoorden van uw Mittwald-klantaccounts en schakelt u tweefactorauthenticatie in waar die wordt aangeboden.
  4. Vervang andere inloggegevens die bij Mittwald zijn opgeslagen of ermee zijn gebruikt: API-tokens, SSH-sleutels, FTP/SFTP- en databasewachtwoorden, en mailboxwachtwoorden. Wijzig ook de wachtwoorden van CMS- en webwinkelbeheeraccounts op sites die daar worden gehost.
  5. Als u zelf MCP-servers, AI-tools of andere automatisering aan uw hostingaccounts hebt gekoppeld, trek dan hun tokens in en maak nieuwe aan met zo min mogelijk rechten.
  6. Zorg dat u van elke site die u buiten Mittwald bewaart een actuele back-up heeft. Overschrijf oudere back-ups nog niet, omdat u mogelijk een bekende goede situatie nodig heeft.
  7. Vertel uw eigen klanten in duidelijke taal wat er is gebeurd, en geef de verklaringen van Mittwald door zoals ze worden gepubliceerd.

Hoe u kunt controleren of u getroffen bent

  • Zodra de beheerdiensten weer werken, controleert u de accountactiviteit, de gebruikers- en toegangslijsten, en de SSH-sleutels en API-tokens in uw Mittwald-accounts. Let op alles wat u zelf niet heeft aangemaakt.
  • Vergelijk de bestanden van uw websites met uw eigen back-ups of uw Git-repositories. Let op nieuwe of gewijzigde PHP-bestanden, onbekende beheerders in uw CMS of webwinkel, en gewijzigde DNS-records of maildoorstuur-instellingen.
  • Controleer de toegangs- en foutlogs van uw sites van de dagen rond 12 november 2026 op ongebruikelijke inlogpogingen of uploads.
  • Volg de updates van Mittwald over welke systemen en gegevens zijn getroffen. Als Mittwald bevestigt dat klantgegevens of toegangsgegevens zijn blootgesteld, overweeg dan uw eigen meldplicht op grond van de privacywetgeving.

Update van 14 november 2026

Mittwald meldt nu dat de aanvaller gebruikmaakte van een kwetsbaarheid in de eigen MCP-server van Mittwald, waarmee klanten het mStudio-beheerplatform kunnen koppelen aan AI-assistenten. Via deze kwetsbaarheid las de aanvaller sessietokens en kreeg hij toegang tot 56 klantprojecten. Volgens Mittwald zijn wachtwoorden niet gelezen en zijn alle sessietokens ingetrokken. Getroffen klanten worden per persoonlijke e-mail geïnformeerd. Volgens berichten heeft de aanvaller de kwetsbaarheid op 21 oktober 2026 voor het eerst onderzocht, deze op 27 oktober gebruikt en is de aanval op 4 november ontdekt. Mittwald heeft de MCP-server, mStudio en SSH op 5 november geblokkeerd, de toegang later weer ingeschakeld en op de nacht van 12 november SSH, mStudio en het klantencenter opnieuw afgesloten. Websites en postvakken zijn bereikbaar gebleven. Mittwald stelt dat de eigen website niet is overgenomen of verminkt.

Bronnen

Meer artikelen