Ir para o conteúdo
Centoculus
pt

Alerta de segurança · Alta

Hospedagem Mittwald atacada via servidor MCP: serviços de administração offline, clientes devem verificar

· 4 minutos de leitura · Centoculus Security Team

Conhecida desde · ataques confirmados desde

Afetados: Clientes da hospedagem web Mittwald

O que aconteceu

Em 12 de novembro de 2026, a heise informou que a hospedagem web alemã Mittwald havia sido atacada por meio de um servidor MCP. Servidores MCP (Model Context Protocol) conectam ferramentas e automações a outros serviços e dados. A Mittwald está agora em modo de emergência. Seu site funciona em modo limitado, seu blog está offline e os serviços de administração para clientes foram desligados.

O relatório que temos não informa como os atacantes entraram pelo servidor MCP, quais sistemas alcançaram ou se dados de clientes, sites ou credenciais de acesso foram afetados. Trate qualquer afirmação sobre esses pontos como em aberto até que a Mittwald a confirme.

Quem está em risco

  • Agências, empresas e pessoas físicas que hospedam sites, lojas virtuais ou outros serviços na Mittwald.
  • Os clientes finais delas, caso dados de acesso ou sites tenham sido expostos. Isso não foi confirmado até agora.

Se você não hospeda nada na Mittwald e não se conecta a serviços da Mittwald, este incidente não afeta você diretamente.

O que fazer agora

  1. Obtenha informações apenas pelos canais oficiais da Mittwald. Espere e-mails de phishing e ligações que usem o incidente como pretexto. Não insira credenciais por meio de links em mensagens inesperadas e não forneça dados de acesso a quem ligar.
  2. Não faça alterações apressadas enquanto os serviços de administração estiverem offline. Anote quais projetos, domínios e contas você tem na Mittwald para conseguir revisá-los rapidamente depois.
  3. Quando o acesso for restabelecido, altere as senhas das suas contas de cliente da Mittwald e ative a autenticação em dois fatores onde ela for oferecida.
  4. Renove outras credenciais armazenadas na Mittwald ou usadas com ela: tokens de API, chaves SSH, senhas de FTP/SFTP e de banco de dados, e senhas de caixas de e-mail. Altere também as senhas das contas de administrador de CMS e de lojas nos sites hospedados ali.
  5. Se você conectou servidores MCP, ferramentas de IA ou outras automações às suas contas de hospedagem, revogue os tokens delas e emita novos com o mínimo de permissões necessárias.
  6. Certifique-se de ter um backup atualizado de cada site que você mantém fora da Mittwald. Não sobrescreva backups mais antigos ainda, pois você pode precisar de um estado conhecido e íntegro.
  7. Informe seus próprios clientes sobre o que aconteceu, em linguagem simples, e repasse as declarações da Mittwald conforme forem publicadas.

Como verificar se você foi afetado

  • Assim que os serviços de administração voltarem, revise a atividade das contas, as listas de usuários e de acessos, e as chaves SSH e tokens de API nas suas contas Mittwald. Procure por qualquer item que você não tenha criado.
  • Compare os arquivos dos seus sites com seus backups ou com seus repositórios Git. Procure arquivos PHP novos ou alterados, usuários administradores desconhecidos no seu CMS ou loja, e registros DNS ou encaminhamentos de e-mail alterados.
  • Verifique os logs de acesso e de erro dos seus sites dos dias em torno de 12 de novembro de 2026 em busca de logins ou uploads incomuns.
  • Acompanhe as atualizações da Mittwald sobre quais sistemas e dados foram afetados. Se a Mittwald confirmar que dados de clientes ou credenciais de acesso foram expostos, considere suas próprias obrigações de notificação de proteção de dados.

Atualização de 14 de novembro de 2026

Mittwald informa agora que o invasor explorou uma vulnerabilidade no próprio servidor MCP da Mittwald, que permite aos clientes conectar a plataforma administrativa mStudio a assistentes de IA. Por meio dela, o invasor leu tokens de sessão e obteve acesso a 56 projetos de clientes. Segundo a Mittwald, as senhas não foram lidas e todos os tokens de sessão foram revogados. Os clientes afetados são informados por e-mail pessoal. Reportagens indicam que o invasor testou a falha pela primeira vez em 21 de outubro de 2026, a usou em 27 de outubro e foi detectado em 4 de novembro. Em 5 de novembro, a Mittwald bloqueou o servidor MCP, o mStudio e o SSH; depois, reativou o acesso e, na noite de 12 de novembro, desativou novamente o SSH, o mStudio e o centro de clientes. Sites e caixas de e-mail continuam acessíveis. A Mittwald afirma que o próprio site da empresa não foi invadido nem desfigurado.

Fontes

Outros artigos