Przejdź do treści
Centoculus
pl

Alert bezpieczeństwa · Wysoka

Hosting Mittwald zaatakowany przez serwer MCP: usługi administracyjne offline, klienci powinni sprawdzić konta

· 4 minuty czytania · Centoculus Security Team

Znana od · ataki potwierdzone od

Dotyczy: Klienci dostawcy hostingu Mittwald

Co się stało

12 listopada 2026 roku serwis heise poinformował, że niemiecki dostawca hostingu Mittwald został zaatakowany za pośrednictwem serwera MCP. Serwery MCP (Model Context Protocol) łączą narzędzia i automatyzacje z innymi usługami oraz danymi. Mittwald działa obecnie w trybie awaryjnym. Jego strona internetowa funkcjonuje w ograniczonym zakresie, blog jest niedostępny, a usługi administracyjne dla klientów zostały wyłączone.

Dostępna informacja nie wyjaśnia, w jaki sposób napastnicy dostali się przez serwer MCP, do jakich systemów uzyskali dostęp ani czy dane klientów, strony internetowe lub dane dostępowe zostały naruszone. Wszelkie twierdzenia w tych kwestiach należy traktować jako niepotwierdzone do czasu, aż Mittwald je potwierdzi.

Kto jest zagrożony

  • Agencje, firmy i osoby prywatne, które hostują u Mittwald strony internetowe, sklepy internetowe lub inne usługi.
  • Ich klienci końcowi, jeśli dane dostępowe lub strony zostały ujawnione. Dotychczas nie zostało to potwierdzone.

Jeśli nie hostujesz niczego u Mittwald i nie łączysz się z usługami Mittwald, ten incydent bezpośrednio Cię nie dotyczy.

Co należy zrobić teraz

  1. Informacje warto uzyskiwać wyłącznie z oficjalnych kanałów Mittwald. Należy spodziewać się wiadomości e-mail i telefonów phishingowych, które wykorzystują ten incydent jako pretekst. Nie należy wprowadzać danych logowania po kliknięciu linków w nieoczekiwanych wiadomościach ani podawać danych dostępowych osobom dzwoniącym.
  2. Podczas gdy usługi administracyjne są wyłączone, nie należy dokonywać pochopnych zmian. Warto spisać, jakie projekty, domeny i konta posiadasz u Mittwald, aby później szybko przejść przez nie po kolei.
  3. Po przywróceniu dostępu należy zmienić hasła do kont klienta Mittwald i włączyć uwierzytelnianie dwuskładnikowe, jeśli jest oferowane.
  4. Należy wymienić pozostałe dane uwierzytelniające przechowywane u Mittwald lub używane w połączeniu z nim: tokeny API, klucze SSH, hasła FTP/SFTP i baz danych oraz hasła do skrzynek pocztowych. Warto także zmienić hasła kont administratorów CMS i sklepów na hostowanych tam stronach.
  5. Jeśli samodzielnie połączono z kontami hostingowymi serwery MCP, narzędzia AI lub inne automatyzacje, należy unieważnić ich tokeny i wystawić nowe, z jak najmniejszym zakresem uprawnień.
  6. Warto upewnić się, że istnieje aktualna kopia zapasowa każdej strony przechowywanej poza Mittwald. Starszych kopii na razie nie należy nadpisywać, ponieważ może być potrzebny znany dobry stan.
  7. Należy jasno poinformować własnych klientów o tym, co się stało, i przekazywać oświadczenia Mittwald w miarę ich publikacji.

Jak sprawdzić, czy doszło do naruszenia

  • Gdy usługi administracyjne zostaną przywrócone, warto przejrzeć aktywność na kontach, listy użytkowników i dostępów oraz klucze SSH i tokeny API na swoich kontach Mittwald. Należy szukać wszystkiego, czego sami nie utworzyliście.
  • Warto porównać pliki stron z własnymi kopiami zapasowymi lub repozytoriami Git. Należy szukać nowych lub zmienionych plików PHP, nieznanych administratorów w CMS lub sklepie oraz zmienionych rekordów DNS lub przekierowań poczty.
  • Należy sprawdzić logi dostępu i błędów stron z dni wokół 12 listopada 2026 roku pod kątem nietypowych logowań lub przesłanych plików.
  • Warto śledzić komunikaty Mittwald dotyczące tego, które systemy i dane zostały naruszone. Jeśli Mittwald potwierdzi, że dane klientów lub dane dostępowe zostały ujawnione, należy rozważyć własne obowiązki zgłoszenia naruszenia ochrony danych.

Aktualizacja 14 listopada 2026

Mittwald gibt nun an, dass der Angreifer eine Schwachstelle im eigenen MCP-Server von Mittwald ausgenutzt hat, der es Kunden ermöglicht, die Administrationsplattform mStudio mit KI-Assistenten zu verbinden. Über diese Schwachstelle las der Angreifer Session-Tokens aus und verschaffte sich Zugang zu 56 Kundenprojekten. Laut Mittwald wurden keine Passwörter gelesen, und alle Session-Tokens wurden widerrufen. Betroffene Kunden werden per persönlicher E-Mail informiert. Berichten zufolge prüfte der Angreifer die Schwachstelle erstmals am 21. Oktober 2026, nutzte sie am 27. Oktober aus und wurde am 4. November entdeckt. Mittwald sperrte am 5. November den MCP-Server, mStudio und SSH, schaltete den Zugang später wieder frei und trennte SSH, mStudio sowie das Kundencenter in der Nacht zum 12. November erneut ab. Websites und E-Mail-Postfächer blieben erreichbar. Mittwald erklärt, dass die eigene Website nicht übernommen oder verunstaltet wurde.

Źródła

Powiązane wpisy