Veille cyber Top-Secured : analyse indépendante fondée sur le communiqué officiel de Mittwald et sur la presse. Top-Secured n'est pas affilié à cette entreprise et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.
L’hébergeur allemand Mittwald a révélé le 7 novembre 2026 qu’un attaquant s’est introduit dans sa plateforme par le serveur MCP qui permet à ses clients de piloter son interface mStudio depuis un assistant IA. L’intrus est passé inaperçu du 27 octobre au 4 novembre ; l’entreprise a coupé le serveur MCP, prévenu les autorités et contacte les clients concernés.
Ce qui s’est passé
Mittwald, hébergeur allemand qui travaille surtout avec des agences web, a publié le 7 novembre 2026 sur son blog un compte rendu d’incident signé par son fondateur et dirigeant. La porte d’entrée : le serveur MCP (Model Context Protocol) grâce auquel les clients pilotent mStudio, son interface de gestion d’hébergement, depuis un assistant IA. D’après la chronologie publiée, l’attaquant a sondé la faille dès le 21 octobre, puis s’est comporté quelques jours comme un client ordinaire, en créant des comptes de test et en essayant des injections simples. Le 27 octobre, il a ouvert un nouveau compte et exploité la faiblesse. Mittwald considère comme compromises toutes les données à partir de cette date.
Détection et conséquences
Une activité anormale a été repérée le 4 novembre : le premier compte de l’attaquant a été bloqué, le serveur MCP identifié comme point d’entrée puis arrêté. Le 5, Mittwald a bloqué les projets portant des traces de l’intrus, suspendu les inscriptions, la connexion à mStudio et les accès SSH, fait appel à des experts en investigation numérique et prévenu les autorités. Selon l’hébergeur, 56 projets clients ont été compromis, et les analyses suivantes n’en ont pas trouvé d’autres. mStudio et SSH sont revenus le 7 novembre ; les sites bloqués par précaution restent hors ligne pour l’instant. Mittwald estime que la rapidité des actions trahit l’usage d’outils d’IA ; selon The Record, l’entreprise n’a pas fourni d’autre élément. Un rapport détaillé est annoncé.
Que faire maintenant
- Clients de Mittwald : lisez les e-mails et la page de statut de l’hébergeur, et vérifiez si l’un de vos projets fait partie de ceux qui ont été bloqués.
- Renouvelez les secrets stockés dans vos projets depuis le 27 octobre : mots de passe de bases de données, fichiers
.env, clés d’API, clés SSH, comptes administrateurs du CMS. - Cherchez les modifications : fichiers inconnus, nouveaux administrateurs, tâches cron changées ; comparez avec une sauvegarde antérieure au 21 octobre.
- Activez les passkeys sur mStudio, désormais proposées par Mittwald.
- Recensez vos propres connecteurs MCP et intégrations IA : réduisez leurs droits, donnez-leur des jetons dédiés et journalisez chaque appel.
Notre avis
Un connecteur qui permet à un assistant IA d’agir sur votre infrastructure est une nouvelle interface d’administration à distance : il mérite la même rigueur qu’une API ou un VPN. Droits minimaux, surveillance, et la possibilité de le couper en quelques minutes.
Sources
- Mittwald — Sicherheitsvorfall am MCP-Server
- The Record — Cyberattack on German hosting provider Mittwald
Comment nous choisissons, vérifions et rédigeons nos analyses →
La porte d’entrée était un tiers. Vérifiez ce que vos fournisseurs exposent publiquement — sans intrusion, uniquement des informations publiques :
Vous craignez que vos serveurs soient exposés ? Notre équipe audite, corrige et surveille vos infrastructures Linux et cloud 24h/24, 7j/7.
Parler à un expert Notre offre d’infogérance de serveurs →
