Gitサーバーの設定不備で大規模露出、約500万サイトに影響

Gitサーバー設定不備による大規模な情報露出の実態

世界的に約500万台に及ぶGitウェブサーバーが誤って設定されていることが確認され、複数のウェブサイトが不正アクセスや情報流出のリスクにさらされている状況が明らかになった。

Mysterium VPN の研究チームが2026年に公開した調査報告によると、これらのサーバーでは.gitリポジトリのメタデータが外部から閲覧可能な状態となっており、ソースコードやセキュリティ関連の認証情報が第三者に取得される可能性があるという。

調査では、4,964,815件のIPアドレスで.gitディレクトリの露出が確認され、そのうち252,733台のサーバーでは、リアルタイムのデプロイ認証情報を含む.git/configファイルが公開されていた。こうした情報は、コードの不正取得や認証情報の収集にとどまらず、マルウェアの挿入などを通じたサプライチェーン攻撃へ発展するリスクを伴うと指摘されている。

米国で影響が集中するGitサーバー設定不備

調査の結果、脆弱なGitサーバーの約35％に相当する約170万台が米国に所在していることが確認された。ドイツ、フランス、インド、シンガポールも影響が大きい地域として挙げられており、主要なクラウドホスティング拠点と被害分布が重なっている点が特徴とされる。

専門家は、デプロイ作業時の小さな設定ミスが大規模な情報露出につながる可能性を指摘している。特に、開発者がプロジェクトフォルダをコピーする際に .git ディレクトリを含めたまま公開し、ディレクトリアクセス制限を適切に設定しないケースが頻発しているという。

対策としては、Webサーバー設定により .git ディレクトリを含む隠しファイルへの外部アクセスを遮断すること、プロダクション環境ではバージョン管理データを除外した必要最小限のファイルのみを配置することが推奨されている。すでに .git/config ファイルが公開されている場合には、関連するAPIキーや認証情報を速やかに更新する必要がある。

こうした基本的な対策を徹底することで、組織は大規模な情報露出やサプライチェーンリスクの発生を未然に防ぐことが可能とされる。