Preskoči na vsebino
Centoculus
sl

Varnostno opozorilo · Visoka

Hosting ponudnika Mittwald napaden prek strežnika MCP: skrbniške storitve nedosegljive, stranke naj preverijo

· Branje: 4 min · Centoculus Security Team

Znano od · napadi potrjeni od

Prizadeto: Stranke ponudnika spletnega gostovanja Mittwald

Kaj se je zgodilo

Dne 12. novembra 2026 je heise poročal, da je nemški ponudnik spletnega gostovanja Mittwald postal tarča napada prek strežnika MCP. Strežniki MCP (Model Context Protocol) povezujejo orodja in avtomatizacijo z drugimi storitvami in podatki. Mittwald je zdaj v načinu nujnega ukrepanja. Njegova spletna stran deluje v omejenem načinu, blog je nedosegljiv, skrbniške storitve za stranke pa so izklopljene.

Poročilo, ki ga imamo, ne pove, kako so napadalci prek strežnika MCP prišli noter, do katerih sistemov so dostopali in ali so bili prizadeti podatki strank, spletne strani ali dostopni podatki. Do potrditve s strani Mittwalda je vsako trditev o tem treba obravnavati kot odprto vprašanje.

Kdo je ogrožen

  • Agencije, podjetja in posamezniki, ki pri Mittwaldu gostijo spletne strani, spletne trgovine ali druge storitve.
  • Njihove končne stranke, če so bili izpostavljeni dostopni podatki ali spletne strani. To doslej ni potrjeno.

Če pri Mittwaldu ničesar ne gostite in se ne povezujete z njegovimi storitvami, vas ta incident neposredno ne zadeva.

Kaj storiti zdaj

  1. Informacije pridobivajte le prek uradnih kanalov Mittwalda. Pričakujte lažna sporočila in klice, ki izkoriščajo incident. Poverilnic ne vnašajte prek povezav v nepričakovanih sporočilih in dostopnih podatkov ne posredujte klicateljem.
  2. Medtem ko so skrbniške storitve nedosegljive, ne izvajajte hitrih sprememb. Zapišite, na katerih projektih, domenah in računih pri Mittwaldu imate storitve, da jih boste pozneje lahko hitro pregledali.
  3. Ko bo dostop spet mogoč, spremenite gesla svojih strank računov pri Mittwaldu in tam, kjer je na voljo, vklopite dvofaktorsko overjanje.
  4. Zamenjajte druge poverilnice, ki so bile shranjene pri Mittwaldu ali uporabljene z njim: API žetone, SSH ključe, gesla za FTP/SFTP in podatkovne baze ter gesla za poštne predale. Spremenite tudi gesla skrbniških računov CMS in spletnih trgovin na tam gostovanih straneh.
  5. Če ste sami povezali strežnike MCP, orodja umetne inteligence ali drugo avtomatizacijo s svojimi gostovanji, prekličite njihove žetone in izdajte nove z najmanj pravicami, ki jih potrebujejo.
  6. Poskrbite za aktualno varnostno kopijo vsake strani, ki jo hranite zunaj Mittwalda. Starejših varnostnih kopij še ne prepisujte, saj boste morda potrebovali znano dobro stanje.
  7. Svojim strankam jasno povejte, kaj se je zgodilo, in posredujte izjave Mittwalda, ko bodo objavljene.

Kako preveriti, ali ste bili zadeti

  • Ko bodo skrbniške storitve spet delovale, pregledajte aktivnost računov, seznama uporabnikov in dostopov ter SSH ključe in API žetone v svojih računih pri Mittwaldu. Iščite vse, česar niste ustvarili.
  • Primerjajte datoteke svojih strani z lastnimi varnostnimi kopijami ali Git repozitoriji. Iščite nove ali spremenjene PHP datoteke, neznane skrbniške uporabnike v CMS ali trgovini ter spremenjene DNS zapise ali preusmeritve pošte.
  • Preverite dnevnike dostopa in napak svojih strani za dneve okoli 12. novembra 2026 in iščite nenavadne prijave ali nalaganje datotek.
  • Spremljajte posodobitve Mittwalda o tem, kateri sistemi in podatki so bili prizadeti. Če Mittwald potrdi, da so bili izpostavljeni podatki strank ali dostopni podatki, razmislite o svojih obveznostih glede poročanja o varstvu osebnih podatkov.

Posodobitev 14. novembra 2026

Mittwald zdaj navaja, da je napadalec izkoristil ranljivost v lastnem strežniku MCP podjetja Mittwald, ki strankam omogoča povezavo platforme za skrbništvo mStudio z asistenti umetne inteligence. Prek nje je napadalec prebral seje žetonov in dostopal do 56 projektov strank. Po navedbah podjetja Mittwald gesla niso bila prebrana, vsi žetoni sej pa so bili preklicani. Stranke, ki jih je incident prizadel, so o tem obveščene z osebnim e-poštnim sporočilom. Poročila navajajo, da je napadalec napako najprej preizkusil 21. oktobra 2026, nato jo je uporabil 27. oktobra, odkrit pa je bil 4. novembra. Mittwald je 5. novembra blokiral strežnik MCP, mStudio in SSH, pozneje je dostop ponovno vklopil, nato pa je v noči s 12. na 13. november ponovno onemogočil SSH, mStudio in center za stranke. Spletna mesta in poštni predali ostajajo dosegljivi. Mittwald pravi, da njegova lastna spletna stran ni bila prevzeta ali poškodovana.

Viri

Sorodne objave