Для кого: пользователей mittwald mStudio (в основном немецких веб-агентств) и операторов, которые запускают сервер MCP, подключающий ИИ-помощников к собственному сервису. Статья основана на официальной записи блога mittwald и её FAQ. Шаги атаки в ней не рассматриваются.
В развитии: статья будет обновляться по мере публикации новых данных организацией
- Кого это касается
пользователей mittwald mStudio (в основном немецких веб-агентств) и операторов, которые запускают сервер MCP, подключающий ИИ-помощников к собственному сервису.
- ПодтвержденоСмотреть таблицу ↓
- Точка входа
- Скомпрометированные клиентские проекты
- Период, считающийся скомпрометированным
Ещё 4
- Обнаружение и отключение
- Считанная информация
- Положение на 6 ноября
- Публикация данных
Названо как возможно затронутое
- Использование инструментов ИИ
- Пока не подтверждено
- Был ли доступ к файлам, базам данных или почтовым ящикам клиентов (компания говорит, что проверка продолжается)
- Подробности и место уязвимости (код компании или библиотека)
- Подробный отчёт компании (запланирован на следующую неделю)
Ещё 2
- Вернётся ли сервер MCP
- Использовались ли инструменты ИИ на самом деле (компания называет это подозрением)
- Что сделать сейчасСмотреть шаги ↓
- Проверьте, затронуты ли вы: пользовались ли вы сервером MCP и получили ли письмо от компании
- Если затронуты: смените пароль и включите двухфакторную аутентификацию
- Проверьте ключи API, токены проектов и ключи SSH
Ещё 3
- Смените учётные данные для внешних сервисов и сообщите заинтересованным лицам
- Узнайте у компании о заблокированных сайтах и резервных копиях
- Операторам серверов MCP: проверьте собственную конфигурацию
- Где проверить (источник)Все источники ↓
- mittwald, «Sicherheitsvorfall am MCP-Server» (официальный блог, на немецком; хронология до 7 ноября)
- Последняя проверка
- По состоянию на 10 ноября 2026 года
Планы обновлений и что мы проверили
Хронология в блоге компании доходит до 7 ноября 2026 года. Компания сообщает, что подробный рассказ опубликует на следующей неделе, когда анализ и восстановление будут полностью завершены, а до тех пор будет делиться информацией через страницу статуса и по электронной почте. Когда мы проверяли 10 ноября 2026 года, такого отчёта ещё не нашли.
Что делать сегодня пользователям mittwald и операторам MCP
Проверьте, затронуты ли вы: пользовались ли вы сервером MCP и получили ли письмо от компании
Согласно FAQ mittwald, затронуты клиенты, пользовавшиеся сервером MCP, и они получают личное письмо. Если вы никогда не настраивали сервер MCP и письма не получали, по текущему мнению компании вы не затронуты. Двухфакторная аутентификация всё равно рекомендуется.
Компания советует считать учётную запись потенциально скомпрометированной, если вы пользовались сервером MCP 27 октября 2026 года или позже, то есть в день, когда злоумышленник фактически использовал уязвимость.
Если затронуты: смените пароль и включите двухфакторную аутентификацию
Следуя указаниям компании, смените пароль mStudio и включите двухфакторную аутентификацию. Поскольку mStudio снова доступен, можно также настроить ключ доступа (passkey). О ключах доступа — Что такое ключ доступа (passkey), об основах многофакторной аутентификации — Руководство по многофакторной аутентификации.
Проверьте ключи API, токены проектов и ключи SSH
Это следует указаниям компании.
- Просмотрите список ключей API, токенов проектов и ключей SSH и удалите всё незнакомое
- В частности, поищите пользователей SSH, которых вы не создавали
- Компания отозвала ключи API в качестве меры предосторожности
Работа с ключами SSH рассмотрена в статье SSH-ключи с минимальными привилегиями.
Смените учётные данные для внешних сервисов и сообщите заинтересованным лицам
Компания советует обновить учётные данные для сторонних сервисов, таких как базы данных, почта и внешние API. Сообщите также тем, кто пользуется вашими проектами (клиентам и команде).
Компания говорит, что если клиентам нужно предпринять дальнейшие шаги, она сообщит им индивидуально по электронной почте.
Узнайте у компании о заблокированных сайтах и резервных копиях
Согласно FAQ компании, сайты, заблокированные в качестве меры предосторожности, открываются по одному после завершения проверки безопасности. Если вы восстанавливаетесь из резервной копии, то, по словам компании, клиент вместе с ней решает, какие изменения, сделанные с 27 октября, сохранить. Каналы связи и страница статуса указаны в блоге компании.
Операторам серверов MCP: проверьте собственную конфигурацию
Что проверить в собственном сервере MCP в свете этого инцидента, кратко изложено ниже в разделе «Что операторам серверов MCP стоит пересмотреть».
Что произошло (из сообщения mittwald)
Раздел основан на официальной записи блога mittwald «Sicherheitsvorfall am MCP-Server» (инцидент безопасности на сервере MCP) и её FAQ. Время указано так, как его называет компания. Это собственный рассказ компании, он не проверялся третьей стороной.
21 октября (вечер)
Злоумышленник впервые проверяет уязвимость сервера MCP. Компания пишет, что это было примерно тогда же, когда обсуждали PHP2Shell.23 октября
Злоумышленник начинает действовать как обычный пользователь: регистрирует тестовые учётные записи, использует расширения и пробует простые попытки внедрения (компания).27 октября, с 14:58 до 15:03
В 14:58 злоумышленник регистрирует ещё одну учётную запись, а в 15:03 использует уязвимость сервера MCP. Все данные начиная с 27 октября компания считает скомпрометированными.4 ноября
Утром компания замечает необычное поведение в одной из своих систем. В 11:11 она блокирует первую учётную запись злоумышленника, а в 12:53 переводит страницу статуса в режим «расследование». Определяет сервер MCP как точку входа и отключает его. Вечером mStudio снова в сети. Веб-проекты всё время оставались доступными.5 ноября
Вскоре после полуночи компания блокирует проекты со следами злоумышленника, временно отключает регистрацию новых учётных записей, а в течение дня блокирует вход в mStudio и доступ по SSH к проектам клиентов.Во время расследования
Анализ поддерживают внешние специалисты по ИТ-криминалистике, а компания информирует компетентные органы.6 ноября
Компания проводит криминалистическое исследование 56 скомпрометированных проектов и сервера MCP. Повторные проверки не находят других скомпрометированных проектов, и сейчас она не обнаруживает активности злоумышленника. Ночью mStudio снова становится пригодным к использованию.7 ноября
mStudio и доступ по SSH снова доступны. Сайты, заблокированные в качестве меры предосторожности, пока остаются заблокированными. Компания сообщает, что центр клиентов и управляемые в нём сайты не пострадали. Становится доступна настройка ключей доступа (passkey).
С 21 октября
Проверка уязвимости, тестовые учётные записи
↓→
27 октября
Уязвимость использована, 56 проектов
↓→
4 ноября
Обнаружено, сервер MCP отключён
- Точка входа
- Уязвимость сервера MCP, который подключает ИИ-помощников клиентов к панели управления компании mStudio
- Масштаб компрометации
- 56 клиентских проектов. Все данные начиная с 27 октября компания считает скомпрометированными
- Что считывалось (FAQ)
- Не пароли, а токены сеансов пользователей сервера MCP, все отозваны. С токеном его владелец мог получить доступ к mStudio с правами этого пользователя
- Не пострадало
- Центр клиентов и управляемые в нём сайты. Компания заявляет, что они не пострадали ни в какой момент
- Данные (FAQ)
- Признаков того, что данные были опубликованы в интернете, нет, но проверка продолжается. Клиентам, у которых найдут признаки извлечения файлов, баз данных или почтовых ящиков, сообщат индивидуально. Если такого сообщения нет, признаков доступа к проекту в настоящее время нет
- Об использовании ИИ
- Компания говорит, что шаги в её журналах шли с интервалом в секунды и, по сообщениям, злоумышленник перемещался по системам очень быстро. По словам компании, это наводит на мысль об инструментах ИИ. Это подозрение компании
- Меры компании
- Блокировка учётных записей и проектов, отключение регистрации, блокировка входа и SSH, отзыв доступа, отключение сервера MCP, повторные проверки. Анализ поддерживают внешние специалисты по ИТ-криминалистике. Компетентные органы проинформированы
- Дальше
- На следующей неделе, когда анализ и восстановление будут полностью завершены, будет опубликован подробный рассказ. Информация будет поступать через страницу статуса и по электронной почте
Что известно и чего пока нет
Состояние на 10 ноября 2026 года. Когда появятся новые данные, мы обновим столбец статуса.
| Пункт | Содержание | Статус |
|---|---|---|
| Точка входа | Уязвимость сервера MCP | Подтверждено (компания) |
| Скомпрометированные клиентские проекты | 56 | Подтверждено (компания) |
| Период, считающийся скомпрометированным | Данные начиная с 27 октября | Подтверждено (компания) |
| Обнаружение и отключение | 4 ноября; сервер MCP отключён | Подтверждено (компания) |
| Считанная информация | Токены сеансов пользователей сервера MCP. Пароли не считывались. Все отозваны | Подтверждено (FAQ компании) |
| Центр клиентов и управляемые в нём сайты | Не пострадали | Не входят (компания) |
| Положение на 6 ноября | Других скомпрометированных проектов не найдено; активность злоумышленника не обнаруживается | Подтверждено (компания) |
| Доступ к данным клиентов (файлы, базы данных, почта) | Клиентам с признаками извлечения сообщат индивидуально; проверка продолжается | Расследуется |
| Публикация данных | Признаков публикации в интернете нет | Подтверждено (FAQ компании; проверка продолжается) |
| Использование инструментов ИИ | Вывод из скорости в журналах; прямых доказательств не показано | Возможно (компания) |
| Подробности и место уязвимости | Не опубликовано | Не указано |
| Возвращение сервера MCP | Решат после расследования | Расследуется |
| Подробный отчёт | Запланирован на следующую неделю | Запланировано (компания) |
Как это читать: рассказ компании не проверялся третьей стороной
Число 56 и хронология взяты из собственного расследования компании. Компания говорит, что анализ поддерживают внешние специалисты по ИТ-криминалистике, но их выводы не опубликованы. Использование ИИ — это подозрение, которое компания вывела из скорости, а не подтверждённый факт. В прессе сообщается, что также неясно, была ли уязвимость в коде компании или в библиотеке с открытым исходным кодом.
Что может произойти, когда сервер MCP подключён к клиентским средам
Далее — общие сведения, они не означают, что здесь произошло именно это. То, что компания опубликовала как случившееся, ограничено разделом «Что произошло» выше.
MCP (Model Context Protocol) — это способ, которым ИИ-помощники вызывают внешние сервисы. Будучи подключённым к сервису, который может оперировать серверами и базами данных, например к панели управления хостингом, сервер MCP становится входом для действий от имени пользователей.
Если в аутентификации или проверке ввода на этом входе есть изъян, права, которые есть у входа, могут добраться до токенов и операций других пользователей. Здесь, по словам компании, считывались токены сеансов пользователей, и с токеном можно было войти в панель управления с правами этого пользователя. Чем шире права токена, тем больше проектов затрагивает изъян в одном входе.
Что операторам серверов MCP стоит пересмотреть
Раздел не оценивает действия компании и не гадает о содержании или причине уязвимости. Исходя из опубликованной хронологии и общей природы серверов MCP, он ограничен пунктами для проверки в собственной конфигурации, и все они — наше мнение.
Ограничивайте токены, которые вы даёте серверу MCP, по назначению
В этой хронологии считанные токены превращались в права панели управления как есть (FAQ компании). Ограничьте токены, которые сервер MCP получает или выдаёт, тем, что нужно задаче ИИ-помощника, например только чтением или одним проектом, и отделите их от прав администратора. Так диапазон одной утечки становится меньше (наше мнение).
Делайте токены краткоживущими и готовьте отзыв до инцидента
Компания ответила отзывом всех считанных токенов. Более короткий срок действия сокращает время, в течение которого можно пользоваться утёкшим токеном. Создайте и отработайте процедуру массового отзыва токенов до инцидента (наше мнение).
Улавливайте стадию разведки, до настоящего злоупотребления
В рассказе компании были первая проверка 21 октября, регистрация тестовых учётных записей с 23 октября и простые попытки внедрения, а фактически уязвимость использовали 27 октября. Оповещения о всплесках регистрации новых учётных записей, об аномальных ошибках при вводе и о тяжёлых вызовах с одной учётной записи могли бы уловить стадию разведки (наше мнение).
Воспринимайте скорость в журналах как признак автоматизации
Компания увидела в шагах с интервалом в секунды намёк на использование инструментов ИИ. ИИ это или нет, но непрерывные операции с одной учётной записи со скоростью, недоступной человеку, полезны для обнаружения. Установите предел скорости операций на учётную запись и останавливайте или запрашивайте подтверждение при превышении (наше мнение).
Держите альтернативу на случай, когда вы отключаете сервер MCP
Компания отключила сервер MCP и вместо него указывает клиентам на свой инструмент командной строки (CLI). Если сохранить способ работы без MCP, решение закрыть вход принимается быстрее (наше мнение). Другой случай автономных действий ИИ в атаке рассмотрен в статье Проникновение в Hugging Face.
Источники (открытые публикации)
Факты в этой статье взяты из открытых сведений ниже. Подробности шагов атаки не рассматриваются.
- mittwald, «Sicherheitsvorfall am MCP-Server» (официальный блог, на немецком; хронология до 7 ноября) — mittwald.de
- mittwald, «MCP-Server: Was du jetzt wissen musst» (официальный FAQ, на немецком; проверено 10 ноября) — mittwald.de
- The Record, «Alleged AI-aided cyberattack exploits assistant interface to breach German web host» (публикация прессы, дополнительный источник; 9 ноября 2026 года) — therecord.media
История обновлений
2026-11-10: первая версия. Основана на официальной записи блога mittwald (хронология до 7 ноября), её FAQ и сообщениях прессы. Мы обновим статью, когда будет опубликован подробный отчёт, который компания планирует на следующую неделю.
Читайте далее
- Взломы платформ инференса ИИ: Уязвимость движка инференса NEAR AI / Инцидент безопасности Fireworks AI
- Автономные действия ИИ в атаке: Проникновение в Hugging Face (2026)
- Скомпрометированный дистрибутив инструментов ИИ: LiteLLM 1.107.0 распространял похититель учётных данных
- Когда взломан хостинг-провайдер: Как реагировать на взлом хостинг-провайдера
- Многофакторная аутентификация: Руководство по многофакторной аутентификации / Что такое ключ доступа (passkey)
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года