De Duitse hostingprovider Mittwald CM Service heeft bekendgemaakt dat aanvallers toegang hebben gekregen tot 56 klantprojecten via een kwetsbaarheid in een interface waarmee klanten AI-assistenten aan hun hostingomgeving kunnen koppelen. Volgens het bedrijf bleef de indringer acht dagen onopgemerkt actief. Mittwald vermoedt dat de aanval met behulp van AI-tools is uitgevoerd, maar heeft daarvoor tot nu toe vooral aanwijzingen uit logbestanden genoemd.
Inbraak via MCP-server voor mStudio
Mittwald, gevestigd in Noordrijn-Westfalen en gericht op webagencies, meldde de inbraak in een blogpost op zaterdag. Bestuurder Robert Meyer schreef dat de aanvaller een fout misbruikte in de Model Context Protocol-server van het bedrijf. Die MCP-server wordt gebruikt om AI-assistenten van klanten te laten verbinden met mStudio, Mittwalds platform voor het beheren van websites en hostingdiensten.
Het is op basis van de beschikbare informatie niet duidelijk waar de kwetsbaarheid precies zat. Mittwald heeft niet vastgesteld of publiekelijk gemeld of de fout in eigen code aanwezig was, of in opensourcebibliotheken rond MCP. Die nuance is belangrijk, omdat het incident daarmee niet automatisch iets zegt over alle MCP-implementaties, maar wel laat zien dat koppelingen tussen AI-assistenten en beheerplatformen een gevoelig onderdeel van de infrastructuur kunnen worden.
Volgens Mittwald zijn 56 klantprojecten gecompromitteerd. Het bedrijf meldt dat externe IT-forensische experts bij de analyse betrokken zijn en dat de bevoegde autoriteiten zijn geïnformeerd. Na forensisch onderzoek van de getroffen projecten en herhaalde scans van de eigen systemen kon Mittwald naar eigen zeggen op vrijdag geen verdere activiteit van de aanvaller meer vaststellen.
AI-betrokkenheid blijft vooralsnog een vermoeden
Mittwald spreekt zelf over aanwijzingen dat de aanvaller AI-gereedschap gebruikte. Meyer baseert dat op loggegevens waaruit volgens hem blijkt dat de indringer zich zeer snel door de systemen bewoog. In sommige gevallen zouden slechts seconden hebben gezeten tussen stappen die voor een menselijke aanvaller zonder ondersteuning aanzienlijk meer tijd zouden kosten.
Die verklaring is opvallend, maar moet voorzichtig worden geïnterpreteerd. Mittwald heeft geen aanvullend technisch bewijs gepubliceerd waaruit eenduidig blijkt dat generatieve AI of autonome AI-agents bij de aanval zijn ingezet. Ook is niet opgehelderd hoe het bedrijf het onderscheid maakt tussen AI-ondersteuning en conventionele automatisering, zoals scripts, die eveneens razendsnel opeenvolgende handelingen kunnen uitvoeren.
Daarmee is bevestigd dat Mittwald een inbraak via zijn MCP-server heeft gemeld en dat 56 klantprojecten zijn geraakt. De kwalificatie als AI-ondersteunde aanval is op dit moment vooral gebaseerd op de interpretatie van het aanvalstempo in de logs.
Context: aanval viel samen met PHP2Shell-patchdrukte
Volgens de tijdlijn van Mittwald testte de aanvaller de MCP-kwetsbaarheid voor het eerst in oktober, in een periode waarin wereldwijd veel organisaties bezig waren met patches voor PHP2Shell. Meyer schrijft dat de aanvaller toegangspogingen verhulde en afleidingsmanoeuvres uitvoerde. Verdere details over die technieken zijn niet openbaar gemaakt.
De samenloop met een brede patchoperatie is relevant. In zulke periodes staan beheer- en securityteams vaak onder extra druk, terwijl aanvallers juist proberen te profiteren van verwarring, tijdelijke uitzonderingen of verschoven aandacht. Uit de beschikbare informatie blijkt echter niet dat PHP2Shell zelf is gebruikt om bij Mittwald binnen te komen; het bedrijf koppelt de inbraak aan de fout in de MCP-server.
Analyse: AI-integraties vergroten het beheeroppervlak
Voor organisaties is dit incident vooral relevant omdat AI-assistenten steeds vaker direct worden gekoppeld aan operationele systemen. Een assistent die toegang krijgt tot een hostingdashboard, ontwikkelomgeving of klantportaal kan nuttig zijn, maar de onderliggende koppeling krijgt daarmee ook een deel van de waarde en gevoeligheid van dat systeem. Als zo’n interface fouten bevat, kan zij een aantrekkelijk aanvalspad vormen.
Het Model Context Protocol is bedoeld om AI-toepassingen gestructureerd met externe systemen te laten communiceren. Juist die brugfunctie maakt beveiliging complex: authenticatie, rechten, logging, invoerafhandeling en de scheiding tussen klantomgevingen moeten correct zijn ingericht. In het geval van Mittwald is nog niet bekend welk onderdeel faalde, maar het incident onderstreept dat AI-koppelingen niet als experimentele randfunctionaliteit kunnen worden behandeld zodra zij toegang geven tot productieomgevingen.
Voor klanten van hosting- en SaaS-platformen is de les eveneens praktisch: nieuwe AI-functies kunnen gevolgen hebben voor het risicoprofiel van bestaande accounts. Organisaties doen er goed aan te weten welke assistentkoppelingen actief zijn, welke rechten daarbij horen en welke logging beschikbaar is wanneer ongebruikelijke acties plaatsvinden. In dit specifieke geval heeft Mittwald aangekondigd later een uitgebreidere reconstructie te publiceren zodra analyse en herstel zijn afgerond.
Bron: therecord.media
