Hopp til innholdet
Centoculus
no

Sikkerhetsvarsel · Høy

Mittwald-hosting angrepet via MCP-server: admintjenester nede, kunder bør sjekke

· 3 minutter å lese · Centoculus Security Team

Kjent siden · angrep bekreftet siden

Berørt: Kunder hos webhotellet Mittwald

Hva som skjedde

Den 12. november 2026 meldte heise at det tyske webhotellet Mittwald var blitt angrepet via en MCP-server. MCP-servere (Model Context Protocol) kobler verktøy og automatisering til andre tjenester og data. Mittwald er nå i nødmodus. Nettsiden kjører i begrenset modus, bloggen er nede, og admintjenestene for kunder er slått av.

Rapporten vi har, sier ikke hvordan angriperne kom inn via MCP-serveren, hvilke systemer de nådde, eller om kundedata, nettsider eller tilgangsopplysninger ble berørt. Behandle alle påstander om disse punktene som uavklarte til Mittwald bekrefter dem.

Hvem som er i fare

  • Byråer, selskaper og privatpersoner som har nettsider, nettbutikker eller andre tjenester hos Mittwald.
  • Sluttkundene deres, dersom tilgangsdata eller nettsider er blitt eksponert. Dette er foreløpig ikke bekreftet.

Hvis du ikke har noe hos Mittwald og ikke kobler deg til Mittwald-tjenester, rammer ikke denne hendelsen deg direkte.

Hva du bør gjøre nå

  1. Hent informasjon bare fra Mittwalds offisielle kanaler. Vent deg phishing-e-poster og telefonhenvendelser som bruker hendelsen som dekke. Ikke skriv inn påloggingsdata via lenker i uventede meldinger, og gi ikke tilgangsdata til personer som ringer deg.
  2. Ikke gjør forhastede endringer mens admintjenestene er nede. Skriv ned hvilke prosjekter, domener og kontoer du har hos Mittwald, slik at du raskt kan gå gjennom dem senere.
  3. Når tilgangen er tilbake, bytt passordene til Mittwald-kundekontoene dine, og slå på tofaktorautentisering der det tilbys.
  4. Bytt andre legitimasjoner som var lagret hos eller brukt sammen med Mittwald: API-tokens, SSH-nøkler, FTP/SFTP- og databasepassord, og passord til e-postkontoer. Bytt også passordene til CMS- og butikkadministratorkontoer på nettsider som er hostet der.
  5. Hvis du selv koblet MCP-servere, KI-verktøy eller annen automatisering til hostingkontoene dine, tilbakekall tokenene og utsted nye med færrest mulige rettigheter.
  6. Sørg for at du har en oppdatert sikkerhetskopi av alle nettsider du oppbevarer utenfor Mittwald. Ikke overskriv eldre sikkerhetskopier ennå, fordi du kan få behov for en kjent god tilstand.
  7. Fortell egne kunder hva som skjedde med enkle ord, og videreformidle Mittwalds uttalelser etter hvert som de publiseres.

Slik sjekker du om du er rammet

  • Når admintjenestene er tilbake, gå gjennom kontoaktiviteten, bruker- og tilgangslistene, samt SSH-nøklene og API-tokenene i Mittwald-kontoene dine. Se etter alt du ikke selv har opprettet.
  • Sammenlign filene på nettsidene dine med egne sikkerhetskopier eller Git-repositoriene dine. Se etter nye eller endrede PHP-filer, ukjente administratorbrukere i CMS-et eller butikken, og endrede DNS-poster eller videresending av e-post.
  • Kontroller tilgangs- og feilloggene for nettsidene dine fra dagene rundt 12. november 2026 for uvanlige innlogginger eller opplastinger.
  • Følg med på Mittwalds oppdateringer om hvilke systemer og data som ble berørt. Hvis Mittwald bekrefter at kundedata eller tilgangsopplysninger er eksponert, bør du vurdere dine egne plikter til å melde fra etter personvernregelverket.

Oppdatering 14. november 2026

Mittwald sier nå at angriperen brukte en sårbarhet i Mittwalds egen MCP-server, som lar kunder koble mStudio-administrasjonsplattformen til AI-assistenter. Gjennom den leste angriperen sesjonstokener og kom seg inn i 56 kundeprosjekter. Ifølge Mittwald ble ikke passord lest, og alle sesjonstokener er tilbakekalt. Berørte kunder får beskjed via personlig e-post. Rapporter tyder på at angriperen først testet sårbarheten 21. oktober 2026, brukte den 27. oktober og ble oppdaget 4. november. Mittwald stengte MCP-serveren, mStudio og SSH 5. november, slo på tilgangen igjen senere, og kuttet SSH, mStudio og kundesenteret på nytt natt til 12. november. Nettsider og postkasser har vært tilgjengelige hele tiden. Mittwald sier at deres egen nettside ikke ble overtatt eller endret.

Kilder

Relaterte innlegg