HTTP bekommt ein sechstes Verb — und jede Allowlist im Haus wurde für fünf geschrieben

Die IETF hat im Juni 2026 RFC 10008 veröffentlicht und damit eine neue HTTP-Methode definiert: QUERY. Es ist das erste neue Standardverb seit PATCH im Jahr 2010, und es sitzt zwischen GET und POST — das Internet Storm Center fasst es als „ein GET mit Body" zusammen. Es ist sicher und idempotent, eine Anfrage darf also ohne halbe Zustände wiederholt werden; die Abfrage steht im Body statt in der URL; und es ist ausdrücklich cachebar. Welche Body-Formate ein Server annimmt, teilt er über den neuen Header Accept-Query mit.

Das betriebliche Problem ist nicht der RFC. Es ist, dass jede Kontrolle, die auf die Methode matcht, zu einer Zeit geschrieben wurde, als es fünf Verben gab. WAF-Regeln, Allowlists im API-Gateway, CSRF-Middleware, Cache-Schlüssel, Methodenbehandlung im Load Balancer — überall stehen GET, POST, PUT, DELETE, PATCH. Ein sechstes Verb, das sich wie eine Mischung der ersten beiden verhält, zwingt jede dieser Kontrollen zu einer Entscheidung, und die meisten treffen sie derzeit versehentlich.

Die Praxis ist sich bereits uneins. Laut Diary lehnen nginx' limit_except und Djangos View-Klasse QUERY rundheraus ab, während curl, explizite FastAPI-Routen, Caddy und Traefik es unangetastet durchreichen. Beim Caching baute ein Forscher eine QUERY-only-API: nginx leitet bereitwillig weiter und cacht nie.

Was das bedeutet

Das Risiko ist nicht, dass QUERY unsicher wäre. Das Risiko ist, dass der eigene Stack sich über QUERY uneins ist. Ein Verb, das eine Schicht ablehnt, die nächste weiterreicht und eine dritte nicht cacht, ist die klassische Ausgangslage für Request Smuggling — und für Kontrollen, die still umgangen werden, weil sie nie gegriffen haben.

Drei Prüfungen für diese Woche, nach Aufwand sortiert:

• Eine schicken. curl -X QUERY https://host/endpunkt -d 'x=1' -v gegen Staging, durch die volle Kette: CDN, WAF, Gateway, Anwendung. Aufschreiben, was jede Schicht getan hat. Das ist das ganze Audit, zehn Minuten.
• Methoden-Allowlists als Aufzählung lesen, nicht als Regel. Wo immer Verben in der Konfiguration stehen, ist die Liste eine Momentaufnahme von 2010. Ausdrücklich entscheiden, ob QUERY dazugehört — und wenn nicht, dort ablehnen, wo die Ablehnung sichtbar ist.
• Den Cache prüfen. Eine cachebare Methode, die der Cache nicht kennt, ist entweder eine Performance-Überraschung oder eine Korrektheitsüberraschung, je nachdem, wie er rät.

Und der Teil, der QUERY überdauert: Genau das tut jede Allowlist irgendwann. Sie kodiert die Welt vom Tag ihrer Entstehung und setzt diese Welt danach still weiter durch, auch wenn die Welt sich bewegt hat.