MEDIUMブラウザ保護・HTTPSEC-ADVISORY-METHODS公表日: 2026年10月17日 10:00 JST

Webサーバーにおける不要なHTTPメソッド（PUT/DELETE/TRACE）開放による改ざんリスク

● OFFICIAL REFERENCE SOURCE / 一次情報源

IPA 情報処理推進機構

脆弱性・インシデントの概要

開発時の設定や古いWebDAV設定が本番環境に残存し、PUTやDELETE、TRACEなどの不要なHTTPメソッドが認証なしで外部に開放されているケースが報告されています。攻撃者による任意のWebシェル（バックドア）配置や既存ページの改ざんリスクが存在します。

不正ファイルアップロードによるWebサイト改ざん、XST（クロスサイトトレーシング）によるCookie情報奪取の危険性。

Apache、IIS、Nginx等で不要なHTTPリクエストメソッドの拒否設定が行われていないWebサーバー

Webサーバー設定にて、Webサイトの要件上必要なメソッド（GET, POST, HEAD等）のみを許可し、その他のメソッドに対しては明示的に405 Method Not Allowed または 403 Forbidden を返却するよう制限してください。

HACHI（蜂）は攻撃者の偵察視点から、SSL/TLS設定・HTTPヘッダー・SPF/DMARCなどの潜在リスクを非侵入・即時で無料診断します。