対象：mittwaldのmStudioを使う利用者（主にドイツのWeb制作会社）と、AIアシスタントを自社のサービスにつなぐMCPサーバーを運用している事業者。本記事はmittwaldの公式ブログとFAQにもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
mittwaldのmStudioを使う利用者（主にドイツのWeb制作会社）と、AIアシスタントを自社のサービスにつなぐMCPサーバーを運用している事業者。
- 影響が確認された範囲表で見る ↓
- 入口
- 侵害された顧客プロジェクト
- 侵害として扱う期間
さらに4件
- 異常の発見と停止
- 読み出された情報
- 11月6日時点の状況
- データの公開
可能性があるとされた項目
- AIツールの利用
- 未確認事項
- 顧客データのファイル・データベース・メールへのアクセスの有無（同社は調査を継続）
- 欠陥の具体的な内容と所在（同社のコードか、ライブラリか）
- 同社の詳しい報告（翌週に公表予定）
さらに2件
- MCPサーバーを再開するかどうか
- AIツールの利用の有無（同社は疑いとしている）
- 今やること手順を見る ↓
- 自分が対象かを確かめる：MCPサーバーを使ったか、同社のメールが来たか
- 対象なら：パスワードを変え、2要素認証を入れる
- APIキー・プロジェクトのトークン・SSHの鍵を点検する
さらに3件
- 外部サービスの認証情報を入れ替え、関係者に知らせる
- 止められたWebサイトとバックアップの扱いを、同社に確認する
- MCPサーバーの運用者：自社の構成を見直す
- 最終確認日時
- 2026年11月10日時点
発表の続報予定と確認の記録
同社のブログに書かれた経過は、2026年11月7日の項までです。同社は、分析と復旧が完全に終わりしだい、翌週に詳しい経緯を公表するとし、それまでの情報は、ステータスページとメールで知らせるとしています。2026年11月10日に確認した範囲では、その詳しい報告はまだ見当たりませんでした。
mittwaldの利用者・MCP運用者が今日やること
自分が対象かを確かめる：MCPサーバーを使ったか、同社のメールが来たか
mittwaldのFAQによれば、影響を受けたのはMCPサーバーを使った利用者で、該当する人には個別にメールが届きます。MCPサーバーを設定したことがなく、メールも来ていなければ、現時点では影響を受けていないと同社は見ています。それでも2要素認証は勧められています。
同社は、攻撃者が欠陥を実際に突いた2026年10月27日以降にMCPサーバーを使ったなら、侵害された可能性があるものとして扱うよう案内しています。
APIキー・プロジェクトのトークン・SSHの鍵を点検する
同社の案内に沿った点検です。
- APIキー、プロジェクトのトークン、SSHの鍵の一覧を見て、覚えのないものは削除する
- 特に、自分で作っていないSSHのユーザーを探す
- 同社は、APIキーを念のため失効させている
SSHの鍵の扱いは SSH鍵の最小権限 にまとめています。
外部サービスの認証情報を入れ替え、関係者に知らせる
同社の案内では、データベース、メール、外部のAPIなど、サードパーティのサービスの認証情報を新しくします。自分のプロジェクトを使う関係者（顧客やチームの人）にも知らせます。
同社は、これらの手順のうち、状況に応じて追加の対応が必要な顧客には、個別にメールで知らせるとしています。
止められたWebサイトとバックアップの扱いを、同社に確認する
同社のFAQによれば、念のため止められたWebサイトは、セキュリティスキャンが終わったものから個別に再開されます。バックアップから復元する場合、10月27日以降の変更をどう扱うかは、顧客と相談して決めるとしています。連絡の窓口とステータスページは、同社のブログに載っています。
MCPサーバーの運用者：自社の構成を見直す
mittwaldの件を受けて、自社でMCPサーバーを運用している事業者が確かめる点は、下の「MCPサーバーを運用する側が見直すこと」にまとめています。
何が起きたのか（mittwaldの発表より）
以下は、mittwaldの公式ブログ「Sicherheitsvorfall am MCP-Server」と、同社のFAQにもとづきます。時刻は同社の表記のままです。同社自身の説明であり、第三者による検証を受けたものではありません。
10月21日（夜）
攻撃者が、MCPサーバーにある欠陥を初めて試す。同社は、この時間が、PHP2Shellをめぐる議論と同じ時期だったと書いている。10月23日
攻撃者が一般の利用者として動き始める。テスト用のアカウントを登録し、拡張機能を使い、簡単なインジェクションの試みを行った（同社）。10月27日 14:58〜15:03
別のアカウントを14:58に登録し、15:03にMCPサーバーの欠陥を実際に突く。同社は、10月27日以降のデータをすべて侵害されたものとして扱う。11月4日
午前に、同社のあるシステムで異常な動きを見つける。11:11に攻撃者の最初のアカウントを停止し、12:53にステータスページを「調査中」にした。MCPサーバーを入口として特定し、停止した。夜にはmStudioが再び使えるようになった。Webプロジェクトはずっと見られる状態だった。11月5日
0時すぎに、攻撃者の痕跡のあるプロジェクトを停止。新規アカウントの登録を一時的に止め、日中にmStudioへのログインと、顧客プロジェクトへのSSHを止めた。調査の過程で
外部のIT調査会社が分析を支援し、同社は関係当局に連絡した。11月6日
56の侵害されたプロジェクトとMCPサーバーを調べた。何度かのスキャンで、これ以上の侵害されたプロジェクトは見つからず、攻撃者の活動は確認できない。夜のうちにmStudioが再び使えるようになった。11月7日
mStudioとSSHが再び使えるようになった。念のため止めたWebサイトは、当面止まったまま。顧客センターとそこで管理するWebサイトは影響を受けていないと同社が説明した。パスキーの設定が可能になった。
10月21日〜
欠陥の試行・テスト用アカウント
↓→
10月27日
欠陥を突かれる・56プロジェクト
↓→
11月4日
発見・MCPサーバーを停止
- 入口
- MCPサーバー（顧客のAIアシスタントを、同社の管理画面mStudioにつなぐもの）にあった欠陥
- 侵害された範囲
- 56の顧客プロジェクト。10月27日以降のデータを、同社はすべて侵害されたものとして扱う
- 読み出されたもの（FAQ）
- パスワードではなく、MCPサーバーの利用者のセッションのトークン。すべて失効済み。トークンでは、そのユーザーの権限でmStudioに入れた
- 影響を受けていないもの
- 顧客センターと、そこで管理するWebサイト。同社は、これらはどの時点でも影響を受けていないとしている
- データの扱い（FAQ）
- データがインターネットに公開された形跡はないが、確認は続けている。ファイル・データベース・メールボックスが取り出された形跡が見つかった顧客には、個別に知らせる。そうした連絡がなければ、現時点でそのプロジェクトにアクセスされた形跡はない
- AIの利用について
- 報道によれば、攻撃者は非常に速くシステム内を進んだ。同社は、ログの手順が秒単位の速さであることから、AIツールの利用を示唆するとしている。同社の見立て（疑い）
- 同社の対応
- アカウントとプロジェクトの停止、新規登録の停止、ログインとSSHの停止、認証情報の失効、MCPサーバーの停止、繰り返しのスキャン。外部のIT調査会社が分析を支援。関係当局に連絡
- 今後
- 翌週に、分析と復旧が完全に終わりしだい、詳しい経緯を公表する。ステータスページとメールで知らせる
分かっていること・分かっていないこと
2026年11月10日時点の状態です。続報が出たら、この表の状態欄を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 入口 | MCPサーバーの欠陥 | 確認済み（同社） |
| 侵害された顧客プロジェクト | 56 | 確認済み（同社） |
| 侵害として扱う期間 | 10月27日以降のデータ | 確認済み（同社） |
| 異常の発見と停止 | 11月4日。MCPサーバーを停止 | 確認済み（同社） |
| 読み出された情報 | MCPサーバーの利用者のセッションのトークン。パスワードは読み出されていない。すべて失効済み | 確認済み（同社のFAQ） |
| 顧客センターとそこで管理するWebサイト | 影響を受けていない | 含まれない（同社） |
| 11月6日時点の状況 | これ以上の侵害されたプロジェクトは見つからず、攻撃者の活動は確認できない | 確認済み（同社） |
| 顧客データ（ファイル・DB・メール）へのアクセス | 形跡が見つかった顧客には個別に知らせる。確認は続いている | 調査中 |
| データの公開 | インターネットに公開された形跡はないとしている | 確認済み（同社のFAQ。調査は継続） |
| AIツールの利用 | ログの速さからの見立て。直接の証拠は示されていない | 可能性（同社） |
| 欠陥の具体的な内容と所在 | 公表されていない | 記載なし |
| MCPサーバーの再開 | 調査のあとに決める | 調査中 |
| 詳しい報告 | 翌週に公表予定 | 予定（同社） |
読み方の注意：同社の説明は第三者の検証を受けていない
56という数と経過は、同社自身の調査にもとづく説明です。外部のIT調査会社が分析を支援していると同社は書いていますが、その結果はまだ公表されていません。AIの利用は、同社が速さから見立てた疑いであり、確認された事実ではありません。報道は、欠陥が同社のコードにあったのか、オープンソースのライブラリにあったのかも明らかではないと伝えています。
MCPサーバーを顧客の環境につなぐとき、何が起きうるか
以下は一般に言えることで、今回これらが起きたという意味ではありません。今回起きたとして同社が公表しているのは、上の「何が起きたのか」の範囲です。
MCP（Model Context Protocol）は、AIアシスタントが外部のサービスを呼び出すための仕組みです。ホスティングの管理画面のように、サーバーやデータベースの操作ができるサービスにつなぐと、MCPサーバーは「ユーザーの代わりに操作する入口」になります。
入口の認証や入力の検査に欠陥があると、その入口が持つ権限でほかのユーザーのトークンや操作に届きえます。今回、同社が説明した読み出しの対象は利用者のセッションのトークンで、トークンがあれば、その利用者の権限で管理画面に入れました。トークンの権限が広いほど、1つの入口の欠陥が、より多くのプロジェクトに及びます。
MCPサーバーを運用する側が見直すこと
本節は同社の対応を評価するものではなく、欠陥の内容や原因も推測しません。同社が公表した経過と、MCPサーバーの一般的な性質から、当サイトの見解として、自社の構成で確かめる点に絞ります。
MCPサーバーに渡すトークンの権限を、用途ごとに絞る
今回の経過では、読み出されたトークンがそのまま管理画面の権限になりました（同社のFAQ）。MCPサーバーが受け取る・発行するトークンは、読み取りだけ、特定のプロジェクトだけなど、AIアシスタントの用途に必要な範囲に絞り、管理者の権限と分けておくと、1つが漏れたときの範囲を小さくできます（当サイトの見解）。
トークンを短命にし、失効の手順を先に作っておく
同社は、読み出されたすべてのトークンを失効させて対応しました。有効期限を短くしておくと、漏れたあとに使える時間が短くなります。まとめて失効させる手順を、事故の前に作って試しておきます（当サイトの見解）。
本番の悪用の前の試行の段階で気づく
同社の記載では、10月21日の最初の試し、10月23日からのテスト用アカウントの登録、簡単なインジェクションの試みがあり、実際に欠陥を突かれたのは10月27日でした。新規アカウントの短期間の登録、入力に対する異常なエラー、特定のアカウントによる大量の呼び出しなどを検知して通知する設定があれば、試行の段階で気づける可能性があります（当サイトの見解）。
ログに「速さ」を見る：自動化された操作の目安にする
同社は、秒単位で続く手順を、AIツールの利用を示す手がかりとしました。AIかどうかにかかわらず、人間にはあり得ない速さで同じアカウントから操作が続くことは、検知の材料になります。1アカウントあたりの操作の頻度に上限を設け、超えたら止めたり、確認を求めたりします（当サイトの見解）。
MCPサーバーを止めたときの代わりの手段を用意する
同社はMCPサーバーを停止し、代わりにコマンドラインツール（CLI）を案内しています。入口を止めたときも業務が続くよう、MCPを使わない手段を残しておくと、止める判断が早くなります（当サイトの見解）。AIが自律的に攻撃した別の事案は Hugging Faceへの侵入 にまとめています。
出典（公開記録）
本記事の事実関係は以下の公開情報にもとづきます。攻撃の手順の詳細は扱っていません。
- mittwald「Sicherheitsvorfall am MCP-Server」（公式ブログ。ドイツ語。11月7日の項まで記載） — mittwald.de
- mittwald「MCP-Server: Was du jetzt wissen musst」（公式のFAQ。ドイツ語。11月10日に確認） — mittwald.de
- The Record「Alleged AI-aided cyberattack exploits assistant interface to breach German web host」（報道、補助。2026年11月9日） — therecord.media
更新履歴
2026-11-10：初版。mittwaldの公式ブログ（11月7日までの経過）とFAQ、報道にもとづく。同社が翌週に公表するとしている詳しい報告が出たら更新する。
次に読む
- AIの推論基盤が破られた事案：NEAR AIの推論エンジンの欠陥 ／ Fireworks AIの不正アクセス
- AIが自律的に攻撃した事案：Hugging Faceへの侵入（2026年）
- AI関連のツールの配布物が侵害された事案：LiteLLM 1.107.0に認証情報を盗むマルウェアが混入
- ホスティング事業者の侵害を受けたとき：ホスティング事業者が侵害されたときの対応
- 多要素認証：多要素認証の始め方 ／ パスキーとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）