Treci la conținut
Centoculus
ro

Alertă de securitate · Ridicată

Hosting-ul Mittwald atacat prin un server MCP: serviciile de administrare sunt offline, clienții ar trebui să verifice

· 4 minute de citit · Centoculus Security Team

Cunoscută din · atacuri confirmate din

Afectate: Clienții furnizorului de web hosting Mittwald

Ce s-a întâmplat

Pe 12 noiembrie 2026, heise a raportat că furnizorul german de web hosting Mittwald a fost atacat printr-un server MCP. Serverele MCP (Model Context Protocol) conectează unelte și automatizări la alte servicii și date. Mittwald se află acum în mod de urgență. Site-ul său rulează într-un mod limitat, blogul său este offline, iar serviciile de administrare pentru clienți sunt oprite.

Raportul pe care îl avem nu spune cum au reușit atacatorii să pătrundă prin serverul MCP, ce sisteme au ajuns să atingă sau dacă datele clienților, site-urile sau datele de acces au fost afectate. Tratează orice afirmație despre aceste puncte ca deschisă până când Mittwald o confirmă.

Cine este în pericol

  • Agenții, companii și persoane fizice care găzduiesc site-uri, magazine online sau alte servicii la Mittwald.
  • Clienții lor finali, dacă datele de acces sau site-urile au fost expuse. Acest lucru nu a fost confirmat până acum.

Dacă nu găzduiești nimic la Mittwald și nu te conectezi la serviciile Mittwald, acest incident nu te afectează direct.

Ce să faci acum

  1. Obține informații doar din canalele oficiale ale Mittwald. Așteaptă-te la emailuri și apeluri de phishing care folosesc incidentul drept paravan. Nu introduce datele de autentificare prin linkuri din mesaje neașteptate și nu da datele de acces persoanelor care sună.
  2. Nu face modificări grăbite cât timp serviciile de administrare sunt offline. Notează ce proiecte, domenii și conturi ai la Mittwald, ca să le poți parcurge rapid mai târziu.
  3. Când accesul revine, schimbă parolele conturilor tale de client Mittwald și activează autentificarea în doi factori acolo unde este oferită.
  4. Rotește celelalte credențiale care au fost stocate la Mittwald sau folosite împreună cu acesta: tokenuri API, chei SSH, parole FTP/SFTP și de bază de date, precum și parolele casetelor poștale. Schimbă și parolele conturilor de administrare CMS și magazin de pe site-urile găzduite acolo.
  5. Dacă ai conectat tu însuți servere MCP, unelte AI sau alte automatizări la conturile tale de hosting, revocă tokenurile lor și emite unele noi cu cele mai puține drepturi necesare.
  6. Asigură-te că ai o copie de rezervă actuală pentru fiecare site pe care îl păstrezi în afara Mittwald. Nu suprascrie încă copiile mai vechi, pentru că s-ar putea să ai nevoie de o stare cunoscută ca bună.
  7. Spune-le clienților tăi, în termeni simpli, ce s-a întâmplat și transmite declarațiile Mittwald pe măsură ce sunt publicate.

Cum verifici dacă ai fost afectat

  • Odată ce serviciile de administrare revin, verifică activitatea conturilor, listele de utilizatori și acces, precum și cheile SSH și tokenurile API din conturile tale Mittwald. Caută orice ai fi creat tu.
  • Compară fișierele site-urilor tale cu copiile tale de rezervă sau cu depozitele Git. Caută fișiere PHP noi sau modificate, utilizatori administratori necunoscuți în CMS-ul sau magazinul tău și înregistrări DNS sau redirecționări de email modificate.
  • Verifică jurnalele de acces și de erori ale site-urilor din zilele din jurul datei de 12 noiembrie 2026 pentru autentificări sau încărcări neobișnuite.
  • Urmărește actualizările Mittwald privind sistemele și datele afectate. Dacă Mittwald confirmă că datele clienților sau datele de acces au fost expuse, ia în considerare obligațiile tale proprii de raportare în materie de protecția datelor.

Actualizare 14 noiembrie 2026

Mittwald spune acum că atacatorul a folosit o vulnerabilitate din propriul server MCP al Mittwald, care le permite clienților să conecteze platforma de administrare mStudio la asistenții AI. Prin intermediul acestuia, atacatorul a citit token-urile de sesiune și a ajuns în 56 de proiecte ale clienților. Potrivit Mittwald, parolele nu au fost citite, iar toate token-urile de sesiune au fost revocate. Clienții afectați sunt informați prin e-mail personal. Rapoartele arată că atacatorul a testat mai întâi defecțiunea pe 21 octombrie 2026, a folosit-o pe 27 octombrie și a fost descoperit pe 4 noiembrie. Mittwald a blocat serverul MCP, mStudio și SSH pe 5 noiembrie, a redeschis accesul mai târziu și a oprit din nou SSH, mStudio și centrul pentru clienți în noaptea de 12 noiembrie. Site-urile web și căsuțele de e-mail au rămas accesibile. Mittwald spune că propriul său site nu a fost preluat sau desfigurat.

Surse

Articole similare