Prejsť na obsah
Centoculus
sk

Bezpečnostné upozornenie · Vysoká

Hosting Mittwald napadnutý cez MCP server: administračné služby sú offline, zákazníci by mali skontrolovať účty

· 4 minúty čítania · Centoculus Security Team

Známe od · útoky potvrdené od

Dotknuté: Zákazníci webového hostingu Mittwald

Čo sa stalo

Dňa 12. novembra 2026 portál heise informoval, že nemecký webový hosting Mittwald bol napadnutý cez MCP server. MCP (Model Context Protocol) servery prepájajú nástroje a automatizáciu s inými službami a dátami. Mittwald je teraz v núdzovom režime. Jeho webová stránka beží v obmedzenom režime, blog je offline a administračné služby pre zákazníkov sú vypnuté.

Správy, ktoré máme k dispozícii, neuvádzajú, ako sa útočníci cez MCP server dostali dovnútra, ku ktorým systémom mali prístup ani to, či boli ovplyvnené zákaznícke dáta, webové stránky alebo prístupové údaje. Až dovtedy, kým Mittwald túto skutočnosť nepotvrdí, považujte všetky tvrdenia o týchto bodoch za otvorené.

Kto je ohrozený

  • Agentúry, firmy a jednotlivci, ktorí na Mittwalde hostujú webové stránky, internetové obchody alebo iné služby.
  • Ich koncoví zákazníci, ak boli odhalené prístupové údaje alebo webové stránky. Toto zatiaľ nebolo potvrdené.

Ak na Mittwalde nič nehostujete a nepripájate sa k jeho službám, tento incident sa vás priamo netýka.

Čo urobiť teraz

  1. Informácie získavajte len z oficiálnych kanálov Mittwaldu. Očakávajte phishingové e-maily a telefonáty, ktoré incident zneužívajú ako zámienku. Neprihlasujte sa cez odkazy v neočakávaných správach a prístupové údaje nikdy neposkytujte volajúcim.
  2. Kým sú administračné služby offline, nerobte unáhlené zmeny. Zapíšte si, aké projekty, domény a účty máte na Mittwalde, aby ste ich neskôr mohli rýchlo spracovať.
  3. Keď bude prístup obnovený, zmeňte heslá k svojim zákazníckym účtom Mittwald a zapnite dvojfaktorové overenie, ak je ponúkané.
  4. Obnovte ostatné prihlasovacie údaje, ktoré boli uložené na Mittwalde alebo s ním používané: API tokeny, SSH kľúče, heslá k FTP/SFTP a databázam a heslá k e-mailovým schránkam. Zmeňte tiež heslá administrátorských účtov CMS a obchodov na tam hostovaných weboch.
  5. Ak ste sami pripojili MCP servery, AI nástroje alebo inú automatizáciu k svojim hostingovým účtom, zrušte ich tokeny a vydajte nové s čo najmenšími potrebnými právami.
  6. Uistite sa, že máte aktuálnu zálohu každej stránky, ktorú uchovávate mimo Mittwaldu. Staršie zálohy zatiaľ neprepisujte, pretože možno budete potrebovať overený stav z minulosti.
  7. Svojim zákazníkom jednoducho vysvetlite, čo sa stalo, a odovzdávajte ich ďalej vyhlásenia Mittwaldu v podobe, v akej budú zverejnené.

Ako zistiť, či ste boli zasiahnutí

  • Keď sa administračné služby vrátia, skontrolujte aktivitu účtov, zoznamy používateľov a prístupov, SSH kľúče a API tokeny vo svojich účtoch Mittwald. Hľadajte čokoľvek, čo ste nevytvorili.
  • Porovnajte súbory svojich webov so svojimi zálohami alebo Git repozitármi. Hľadajte nové alebo zmenené PHP súbory, neznámych administrátorov vo vašom CMS alebo obchode a zmenené DNS záznamy alebo presmerovanie pošty.
  • Skontrolujte prístupové a chybové logy svojich webov z dní okolo 12. novembra 2026 a hľadajte neobvyklé prihlásenia alebo nahrávania súborov.
  • Sledujte aktualizácie Mittwaldu o tom, ktoré systémy a dáta boli ovplyvnené. Ak Mittwald potvrdí, že zákaznícke dáta alebo prístupové údaje boli odhalené, zvážte svoje vlastné povinnosti hlásenia podľa ochrany osobných údajov.

Aktualizácia 14. novembra 2026

Mittwald uvádza teraz, že útočník zneužil zraniteľnosť vo vlastnom MCP serveri spoločnosti Mittwald, ktorý zákazníkom umožňuje pripojiť administračnú platformu mStudio k asistentom umelej inteligencie. Cez ňu útočník čítal session tokeny a dostal sa do 56 zákazníckych projektov. Podľa spoločnosti Mittwald heslá prečítané neboli a všetky session tokeny boli zrušené. Dotknutí zákazníci sú informovaní osobným e-mailom. Správy uvádzajú, že útočník chybu najprv preskúmal 21. októbra 2026, zneužil ju 27. októbra a bol odhalený 4. novembra. Mittwald 5. novembra zablokoval MCP server, mStudio a SSH, neskôr prístup opäť obnovil a v noci z 12. na 13. novembra znovu vypol SSH, mStudio a zákaznícke centrum. Webové stránky a poštové schránky zostali dostupné. Mittwald uvádza, že jeho vlastná webová stránka nebola prevzatá ani poškodená.

Zdroje

Súvisiace články