オンライン上で機密情報を露出させる、設定不備のGit Webサーバーが500万台超見つかる

Webサーバーの設定における大規模かつ広範な脆弱性により、数百万のWebサイトがデータ窃取や不正な乗っ取りに対して無防備な状態となっています。

Mysterium VPNのリサーチチームが実施した2026年の新たな調査によると、世界中で約500万台のWebサーバーが、.gitリポジトリのメタデータを公開状態のまま露出させていることが明らかになりました。

漏えい規模

この調査では、Gitのバージョン管理システムがコード変更を追跡するために用いる、隠しディレクトリであるアクセス可能な.gitフォルダをインターネット上でスキャンしました。

これらのフォルダは、開発者の端末やプライベートリポジトリに留めておくべきものであり、公開中の本番Webサーバー上に置かれるべきではありません。

調査では、この機微なデータを露出させているIPアドレスが4,964,815件見つかりました。

特に懸念されるのは、これらのサーバーのうち252,733台（約5%）が、.git/configという特定のファイルを露出させており、そこに本番デプロイ用の認証情報が含まれていた点です。

.gitフォルダが開放されたままだと、Webブラウザさえあれば誰でも、Webサイトのソースコード履歴全体をダウンロードできてしまいます。

この露出により、攻撃者は組織のインフラに関する「ロードマップ」を得ることになります。

報告書によれば、リスクには次のものが含まれます。

• ソースコードの窃取: ハッカーは独自ソフトウェアや知的財産を復元できます。
• 認証情報の収集: 露出した25万件超の設定ファイルには、APIキー、パスワード、アクセストークンが含まれていることが少なくありません。
• サプライチェーン攻撃: 攻撃者は盗んだ認証情報を使ってリポジトリに悪意あるコードをアップロードし、ソフトウェアの全利用者に感染が広がる可能性があります。

世界的な影響

この問題は世界規模ですが、脆弱なサーバーの大半は米国にあり、検出結果の約35%（170万IP）を占めています。

その他、影響が大きい国としてはドイツ、フランス、インド、シンガポールなどが挙げられます。

この分布は、Webサイト運営者の所在地というより、主要なクラウドホスティング基盤がどこにあるかを主に反映しています。

この露出は通常、デプロイ時の単純な見落としから発生します。開発者が、隠し.gitディレクトリを含むプロジェクトフォルダ全体を本番サーバーへコピーしてしまうことがよくあります。

多くのWebサーバーは、デフォルトで隠しファイル（ドットで始まるもの）へのアクセスを遮断しないため、このディレクトリが公開アクセス可能になってしまいます。

セキュリティ専門家は、管理者に対し、これらのギャップを塞ぐため直ちに行動するよう強く促しています。

1. アクセス遮断: Webサーバー（Nginx、Apache、IIS）を設定し、.gitディレクトリおよびその他の隠しファイルへの外部からのリクエストをすべて拒否してください。
2. クリーンなデプロイ: 本番ビルドのパイプラインでは、必要な成果物のみをアップロードし、バージョン管理データは完全に除外するようにしてください。
3. シークレットのローテーション: .git/configファイルが露出していた場合、関連するAPIキーやパスワードはすべて漏えいしたものとして扱ってください。直ちに無効化し、ローテーション（再発行）してください。

デプロイパイプラインで基本的な「サニタイズ」手順を徹底することで、組織はこの危険なバックドアを塞ぐことができます。