機微ファイルの露出とは　.env・.git・バックアップの公開を防ぐ設定

機微ファイルの露出は、外部に見せる予定のないファイルを、Web経由で読める状態にしてしまうことです。 設定ファイルに含まれるパスワードやAPIキーが漏れるおそれがあります。 公開フォルダには、利用者へ配信するファイルだけを置くことが基本です。

APIキーとは、外部のサービスを使うための合言葉のような文字列です。

機微ファイルの露出（Sensitive File Exposure）

• 何の略か 略語ではありません。
• 日本語では このページでは、仕様に合わせて「機微ファイルの露出」と呼びます。「機密ファイルの公開」と表現することもあります。
• 一言の定義 秘密情報を含むファイルが、許可されていない利用者からWeb経由で読める状態です。
• どんなリスクがあるか パスワードやAPIキーが漏れるおそれがあります。 漏れた認証情報は、不正ログインに使われる可能性があります。
• 影響を受ける運用 アプリケーションのファイル一式を、Webサーバーの公開フォルダに配置しているサイトです。
• 実際の事例 確認できませんでした。
• 分類番号 CWE-552（許可されていない相手からファイルやディレクトリを読める弱点）が対応します。 OWASP Top 10:2025 では、A01:2025 Broken Access Control（アクセス制御の不備）に当てはまります。 公表された脆弱性の例は、CVE-2005-1835 です。 NEXTWEB (i)Site で、公開フォルダにあるデータベースのアクセス制限が不足していました（NVD、2005-06-01 公開）。 この記録だけでは、実際に被害が起きたとは判断できません。

環境設定ファイル（.env）

• 何の略か 略語ではありません。.env は設定ファイルの名前です。
• 日本語では このページでは「環境設定ファイル」と呼びます。 「環境変数ファイル」と表現することもあります。
• 一言の定義 アプリケーションが読み込む設定値を記述するためのファイルです。
• どんなリスクがあるか データベースのパスワードやAPIキーを保存している場合は、その値が漏れるおそれがあります。 ファイル名の先頭に点が付いていても、Web経由での取得を防げるとは限りません。
• 影響を受ける運用 .env に接続情報を保存するWebアプリケーションを運用している人です。
• 実際の事例 2024-01-16、FBIとCISAが Androxgh0st の活動について共同勧告を公表しました。 攻撃者は、Webから読める .env に含まれる認証情報を狙っていました。 公開を防ぐためには、.env を外部から読めない設定にする必要があります。 根拠は出典一覧の共同勧告です。
• 分類番号 秘密情報を含む .env を公開フォルダに置く場合は、CWE-219（機微データを含むファイルのWeb公開フォルダへの保存）に当てはまります。 OWASP Top 10:2025 の分類は、A01:2025 です。 ここで説明した .env の公開に直接対応する CVE は、確認できませんでした。

.git の公開（Exposed .git）

• 何の略か Exposed .git は略語ではありません。 .git は、Git の管理情報を保存するディレクトリの名前です。
• 日本語では 「.git の公開」や「Git管理情報の露出」と呼びます。
• 一言の定義 Git の管理ディレクトリが、許可されていない利用者からWeb経由で読める状態です。
• どんなリスクがあるか ソースコードや変更履歴が漏れるおそれがあります。 過去の版に保存した秘密情報も、履歴に残っている可能性があります。
• 影響を受ける運用 Git の作業ディレクトリを、そのままWebサーバーの公開フォルダとして使っているサイトです。
• 実際の事例 2024-10-30、Sysdig が EMERALDWHALE という活動の調査結果を公表しました。 攻撃者は、Webから読めるGit設定を悪用して認証情報を盗んでいました。 .git をWebから読めない配置や設定にすることが、対策の要点です。 根拠は出典一覧の Sysdig の調査です。
• 分類番号 CWE-527（版管理リポジトリの不適切な公開）が対応します。 OWASP Top 10:2025 の A01:2025 は、対策として .git を公開フォルダに置かないことを挙げています。 この事例の .git の公開に直接対応する CVE は、確認できませんでした。

バックアップファイル（Backup File）

• 何の略か 略語ではありません。
• 日本語では 「バックアップファイル」や「予備のコピー」と呼びます。
• 一言の定義 障害からの復旧や変更前の状態への復元に備えて保存する、ファイルのコピーです。
• どんなリスクがあるか 公開フォルダに残したコピーから、設定値やソースコードが漏れるおそれがあります。 データベースのバックアップには、個人情報が含まれる場合もあります。
• 影響を受ける運用 サーバー上で編集前のファイルをコピーしている人です。 バックアップを公開フォルダに保存するWordPressプラグインの利用者も当てはまります。
• 実際の事例 確認できませんでした。
• 分類番号 バックアップを許可されていない相手から読める場合は、CWE-530（バックアップファイルの不適切な公開）に当てはまります。 OWASP Top 10:2025 の A01:2025 は、バックアップを公開フォルダに置かないことを対策に挙げています。 MITRE は、この弱点の例として CVE-2024-7315 を挙げています。 WordPressプラグインで、予測されやすい名前のバックアップファイルを取得される問題です。 この脆弱性による実際の被害は、確認できませんでした。

ディレクトリリスティング（Directory Listing）

• 何の略か 略語ではありません。
• 日本語では 「ディレクトリ一覧表示」と呼ぶこともあります。
• 一言の定義 Webサーバーが、ディレクトリ内のファイルやフォルダの一覧を表示する機能です。
• どんなリスクがあるか 公開する予定のないファイルの名前や配置が分かるおそれがあります。 ファイルの読み取りも許可されていれば、中身まで取得される可能性があります。
• 影響を受ける運用 画像や資料の保存先で、一覧表示を有効にしているサイトです。
• 実際の事例 確認できませんでした。
• 分類番号 意図しない一覧表示による情報の露出は、CWE-548 に当てはまります。 OWASP Top 10:2025 では、CWE-548 は A01:2025 に対応付けられています。 A02:2025 Security Misconfiguration（セキュリティ設定の不備）にも、一覧表示を止めていない場面の例があります。 MITRE が CWE-548 の例として挙げている脆弱性は、CVE-2023-37599 です。 NVD の公開日は、2023-07-13 です。 この記録だけでは、実際に被害が起きたとは判断できません。

自分のサイトで確かめる方法

確認する対象は、自分が管理するサイトに限ります。

1. サーバーの管理画面で、Webサーバーの公開フォルダを確認します。
2. 公開フォルダに、.env、.git、設定ファイルのコピー、バックアップの圧縮ファイルがないかを調べます。
3. 自分のサイトにある既知の資料用フォルダを、ブラウザで開きます。 ファイルの一覧が出るかを確認します。
4. サーバーのアクセスログで、公開を疑うファイルへのアクセスがなかったかを確認します。

一覧が出ないことだけでは、ファイルの公開を防げたとは判断できません。 ファイルごとの読み取り制限も確認します。 秘密情報を含むファイルの中身は、外部の点検サービスやAIへ送らないでください。

修正方法の要点

機微ファイルは、Webサーバーの公開フォルダから外します。 アプリケーションが参照する保存先も確認します。 漏れた可能性のあるパスワードやAPIキーは変更します。 ファイルの非公開化だけでは、流出した認証情報を無効にできません。

nginx の一覧表示を止める

対象サイトの設定で、次の値を指定します。

autoindex off;

この設定だけでは、ファイルを直接指定したアクセスを防げません。 機微ファイルへのアクセス制限は別途必要です。

Apache の一覧表示を止める

対象ディレクトリで、次の値を指定します。

Options -Indexes

.htaccess で変更できるかは、サーバーの許可設定によって異なります。

WordPress のバックアップ保存先を確認する

バックアッププラグインの保存先を確認します。 バックアップは、外部から取得できない場所で保管します。 公開フォルダに残した設定ファイルのコピーも確認します。

サーバー設定の確認には、プロンプト駅の「サーバー設定の点検」を使えます。 秘密情報を伏せてから入力してください。

出典

• MITRE「CWE-552 Files or Directories Accessible to External Parties」（2026-10-28 取得） https://cwe.mitre.org/data/definitions/552.html

• MITRE「CWE-219 Storage of File with Sensitive Data Under Web Root」（2026-10-28 取得） https://cwe.mitre.org/data/definitions/219.html

• MITRE「CWE-527 Exposure of Version-Control Repository to an Unauthorized Control Sphere」（2026-10-28 取得） https://cwe.mitre.org/data/definitions/527.html

• MITRE「CWE-530 Exposure of Backup File to an Unauthorized Control Sphere」（2026-10-28 取得） https://cwe.mitre.org/data/definitions/530.html

• MITRE「CWE-548 Exposure of Information Through Directory Listing」（2026-10-28 取得） https://cwe.mitre.org/data/definitions/548.html

• NVD「CVE-2005-1835」（2005-06-01 公開、2026-10-28 取得） https://nvd.nist.gov/vuln/detail/CVE-2005-1835

• NVD「CVE-2023-37599」（2023-07-13 公開、2026-10-28 取得） https://nvd.nist.gov/vuln/detail/cve-2023-37599

• FBI・CISA「Known Indicators of Compromise Associated with Androxgh0st Malware」（2024-01-16 公表、2026-10-28 取得） https://www.cisa.gov/sites/default/files/2024-01/aa24-016a-known-indicators-of-compromise-associated-with-adroxgh0st-malware_0.pdf

• Sysdig「EMERALDWHALE」（2024-10-30 公表、2026-10-28 取得） https://www.sysdig.com/blog/emeraldwhale

• OWASP「A01:2025 Broken Access Control」（2026-10-28 取得） https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/

• OWASP「A02:2025 Security Misconfiguration」（2026-10-28 取得） https://top10.owasp.org/2025/A02_2025-Security_Misconfiguration/

• nginx「Module ngx_http_autoindex_module」（2026-10-28 取得） https://nginx.org/en/docs/http/ngx_http_autoindex_module.html

• Apache HTTP Server 2.4「Options Directive」（2026-10-28 取得） https://httpd.apache.org/docs/2.4/mod/core.html#options

• FTC「Data Breach Response - A Guide for Business」（2026-10-28 取得） https://www.ftc.gov/business-guidance/resources/data-breach-response-guide-business

関連するページ

• Webセキュリティ用語辞典の索引
• セキュリティヘッダ（Security Headers）
• 脆弱性の番号と深刻度（CVE・CWE・CVSS）
• Webサイトセキュリティ診断では、これらのファイルが外から読めないかを点検し、修正方法を添えて報告します。