İçeriğe geç
Centoculus
tr

Güvenlik uyarısı · Yüksek

Mittwald hosting'e MCP sunucusu üzerinden saldırı: Yönetim hizmetleri çevrimdışı, müşteriler kontrol etmeli

· 4 dakikalık okuma · Centoculus Security Team

tarihinden beri biliniyor · saldırılar tarihinden beri doğrulanmış durumda

Etkilenenler: Web barındırma sağlayıcısı Mittwald'ın müşterileri

Ne oldu

heise, 12 Kasım 2026 tarihinde Alman web barındırma sağlayıcısı Mittwald'a bir MCP sunucusu üzerinden saldırı düzenlendiğini bildirdi. MCP (Model Context Protocol) sunucuları, araçları ve otomasyonu diğer hizmetlere ve verilere bağlar. Mittwald şu anda acil durum modunda. Web sitesi sınırlı modda çalışıyor, blogu çevrimdışı ve müşteriler için yönetim hizmetleri kapatılmış durumda.

Elimizdeki haber, saldırganların MCP sunucusu üzerinden içeri nasıl girdiğini, hangi sistemlere eriştiklerini veya müşteri verilerinin, web sitelerinin ya da erişim bilgilerinin etkilenip etkilenmediğini belirtmiyor. Mittwald doğrulayana kadar bu konulardaki her açıklamayı belirsiz kabul edin.

Kimler risk altında

  • Mittwald'da web siteleri, çevrimiçi mağazalar veya başka hizmetler barındıran ajanslar, şirketler ve bireyler.
  • Erişim bilgileri veya web siteleri açığa çıktıysa bunların son müşterileri. Bu durum şu ana kadar doğrulanmış değildir.

Mittwald'da hiçbir şey barındırmıyorsanız ve Mittwald hizmetlerine bağlanmıyorsanız, bu olay sizi doğrudan etkilemez.

Şimdi ne yapmalısınız

  1. Bilgiyi yalnızca Mittwald'ın resmi kanallarından edinin. Olayı bahane eden kimlik avı e-postalarına ve telefon aramalarına hazırlıklı olun. Beklenmedik mesajlardaki bağlantılar üzerinden kimlik bilgilerinizi girmeyin ve arayanlara erişim bilgilerinizi vermeyin.
  2. Yönetim hizmetleri çevrimdışıyken aceleyle değişiklik yapmayın. Daha sonra hızlıca ilerleyebilmek için Mittwald'da hangi projelere, alan adlarına ve hesaplara sahip olduğunuzu not edin.
  3. Erişim yeniden sağlandığında Mittwald müşteri hesaplarınızın parolalarını değiştirin ve sunulan yerlerde iki faktörlü kimlik doğrulamayı etkinleştirin.
  4. Mittwald'da saklanan veya Mittwald ile birlikte kullanılan diğer kimlik bilgilerini yenileyin: API belirteçleri, SSH anahtarları, FTP/SFTP ve veritabanı parolaları ile posta kutusu parolaları. Ayrıca orada barındırılan sitelerdeki CMS ve mağaza yönetici hesaplarının parolalarını da değiştirin.
  5. MCP sunucularını, yapay zekâ araçlarını veya başka otomasyonları barındırma hesaplarınıza kendiniz bağladıysanız, bunların belirteçlerini iptal edin ve ihtiyaç duydukları en az yetkiyle yenilerini oluşturun.
  6. Mittwald dışında tuttuğunuz her site için güncel bir yedeğiniz olduğundan emin olun. Bilinen sağlam bir duruma ihtiyaç duyabileceğiniz için eski yedeklerin üzerine henüz yazmayın.
  7. Kendi müşterilerinize olanları sade bir dille anlatın ve Mittwald'ın açıklamalarını yayımlandıkça iletin.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

  • Yönetim hizmetleri yeniden açıldığında, Mittwald hesaplarınızdaki hesap etkinliğini, kullanıcı ve erişim listelerini, SSH anahtarlarını ve API belirteçlerini inceleyin. Sizin oluşturmadığınız her şeye dikkat edin.
  • Web sitelerinizin dosyalarını kendi yedeklerinizle veya Git depolarınızla karşılaştırın. Yeni veya değiştirilmiş PHP dosyalarını, CMS'inizdeki ya da mağazanızdaki bilinmeyen yönetici kullanıcılarını ve değiştirilmiş DNS kayıtlarını ya da posta yönlendirmelerini arayın.
  • Sitelerinizin 12 Kasım 2026 civarındaki günlere ait erişim ve hata günlüklerini olağandışı girişler veya yüklemeler açısından kontrol edin.
  • Hangi sistemlerin ve verilerin etkilendiğine dair Mittwald'ın güncellemelerini takip edin. Mittwald müşteri verilerinin veya erişim bilgilerinin açığa çıktığını doğrularsa, kendi veri koruma bildirim yükümlülüklerinizi göz önünde bulundurun.

Güncelleme 14 Kasım 2026

Mittwald gibt nun an, der Angreifer habe eine Schwachstelle im eigenen MCP-Server von Mittwald ausgenutzt, über den Kunden die mStudio-Admin-Plattform mit KI-Assistenten verbinden können. Dadurch habe der Angreifer Sitzungstoken ausgelesen und sei in 56 Kundenprojekte eingedrungen. Laut Mittwald wurden keine Passwörter ausgelesen, und alle Sitzungstoken wurden widerrufen. Betroffene Kunden werden per persönlicher E-Mail informiert. Berichten zufolge hat der Angreifer die Schwachstelle erstmals am 21. Oktober 2026 getestet, am 27. Oktober ausgenutzt und am 4. November entdeckt. Mittwald hat den MCP-Server, mStudio und SSH am 5. November gesperrt, den Zugang später wieder freigeschaltet und in der Nacht zum 12. November SSH, mStudio sowie das Kundencenter erneut abgeschaltet. Websites und Postfächer sind weiterhin erreichbar. Mittwald erklärt, dass die eigene Website nicht übernommen oder verunstaltet wurde.

Kaynaklar

İlgili yazılar