Hoppa till innehållet
Centoculus
sv

Säkerhetslarm · Hög

Mittwald-hosting attackerad via MCP-server: admintjänster offline, kunder bör kontrollera

· 4 minuters läsning · Centoculus Security Team

Känd sedan · attacker bekräftade sedan

Berörda: Kunder hos webbhotellet Mittwald

Vad som hände

Den 12 november 2026 rapporterade heise att det tyska webbhotellet Mittwald hade attackerats via en MCP-server. MCP (Model Context Protocol) är servrar som kopplar verktyg och automatisering till andra tjänster och data. Mittwald är nu i nödläge. Webbplatsen körs i begränsat läge, bloggen är offline och admintjänsterna för kunder är avstängda.

Rapporten vi har säger inte hur angriparna kom in via MCP-servern, vilka system de nådde eller om kunddata, webbplatser eller inloggningsuppgifter påverkades. Behandla alla påståenden i dessa frågor som öppna tills Mittwald bekräftar dem.

Vilka som riskerar att drabbas

  • Byråer, företag och privatpersoner som hostar webbplatser, webbutiker eller andra tjänster hos Mittwald.
  • Deras slutkunder, om åtkomstuppgifter eller webbplatser har exponerats. Detta är hittills inte bekräftat.

Om du inte hostar något hos Mittwald och inte ansluter till Mittwalds tjänster berörs du inte direkt av denna incident.

Vad du bör göra nu

  1. Hämta information endast från Mittwalds officiella kanaler. Var beredd på nätfiskemejl och samtal som utnyttjar incidenten. Ange inte inloggningsuppgifter via länkar i oväntade meddelanden och lämna inte ut åtkomstuppgifter till personer som ringer dig.
  2. Gör inga förhastade ändringar medan admintjänsterna är avstängda. Skriv ner vilka projekt, domäner och konton du har hos Mittwald så att du snabbt kan gå igenom dem senare.
  3. När åtkomsten är tillbaka ska du byta lösenord till dina Mittwald-kundkonton och aktivera tvåfaktorautentisering där det erbjuds.
  4. Byt andra uppgifter som lagrats hos eller använts tillsammans med Mittwald: API-token, SSH-nycklar, FTP/SFTP- och databaslösenord samt lösenord till e-postlådor. Byt också lösenorden till CMS- och butiksadminkonton på webbplatser som finns där.
  5. Om du själv kopplade MCP-servrar, AI-verktyg eller annan automatisering till dina hostingkonton ska du återkalla deras token och skapa nya med så få rättigheter som möjligt.
  6. Se till att du har en aktuell säkerhetskopia av varje webbplats som du förvarar utanför Mittwald. Skriv inte över äldre säkerhetskopior ännu, eftersom du kan behöva ett känt gott tillstånd.
  7. Berätta för dina egna kunder vad som hände med enkla ord och vidarebefordra Mittwalds uttalanden i takt med att de publiceras.

Så kontrollerar du om du har drabbats

  • När admintjänsterna är tillbaka ska du granska kontoaktiviteten, listorna över användare och åtkomst samt SSH-nycklar och API-token i dina Mittwald-konton. Leta efter sådant du inte har skapat.
  • Jämför filerna på dina webbplatser med dina egna säkerhetskopior eller dina Git-repositorier. Leta efter nya eller ändrade PHP-filer, okända adminanvändare i ditt CMS eller din butik samt ändrade DNS-poster eller e-postvidarebefordringar.
  • Kontrollera åtkomst- och felloggarna för dina webbplatser från dagarna kring den 12 november 2026 för ovanliga inloggningar eller uppladdningar.
  • Följ Mittwalds uppdateringar om vilka system och data som påverkades. Om Mittwald bekräftar att kunddata eller åtkomstuppgifter har exponerats bör du överväga dina egna anmälningsskyldigheter enligt dataskyddsreglerna.

Uppdatering 14 november 2026

Mittwald säger nu att angriparen utnyttjade en sårbarhet i Mittwalds egen MCP-server, som låter kunder koppla plattformen mStudio för administration till AI-assistenter. Genom den läste angriparen sessionstokens och kom in i 56 kundprojekt. Enligt Mittwald lästes inga lösenord och alla sessionstokens har återkallats. Berörda kunder informeras via personligt e-postmeddelande. Enligt uppgifter försökte angriparen först utnyttja felet den 21 oktober 2026, använde det den 27 oktober och upptäcktes den 4 november. Mittwald blockerade MCP-servern, mStudio och SSH den 5 november, slog på åtkomsten igen senare och stängde åter av SSH, mStudio och kundcentret natten till den 12 november. Webbplatser och e-postlådor har förblivit nåbara. Mittwald säger att deras egen webbplats varken kapades eller förvanskades.

Källor

Relaterade inlägg