Cloudflare WAF が MCP Server の RCE ほか新脅威に先手を打つ！

やっほー、しぃちゃんだよ！今日はセキュリティのお話。Cloudflare の WAF が守りをまた一段アップデートしたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、2026 年 4 月 7 日付の WAF リリースが公開されたの。WAF のマネージドルールに、いくつか新しい検知ルールが追加されたっていう更新だよ。

今回のリリースで狙い撃ちにしているのは、大きく 3 つの脅威なの。

• MCP Server のリモートコード実行（RCE）の脆弱性（CVE-2026-23744）
• SolarWinds の認証バイパス（CVE-2025-40552）
• HTTP の Cookie にイベントハンドラを仕込む XSS インジェクション

今までどうだったの？

WAF のマネージドルールは、Cloudflare が新しい脆弱性や攻撃パターンを見つけるたびに、こうして定期的に検知ルールを足していく仕組みなの。だから利用者が自分でシグネチャを書かなくても、リリースが降ってくるだけで新しい攻撃への守りが増えていくんだよ。今回みたいに、話題の MCP Server の RCE みたいな新しめの脅威にもちゃんと追従してくれるのが強みだね。

これで何が変わるの？

マネージドルールを有効にしている人は、特別な作業をしなくても、今回追加された脅威の検知が効くようになるの。CVE 番号が振られた深刻な脆弱性を狙うリクエストを、WAF の側でキャッチしてくれるってことだね。

深く潜ってみよう

新しく入ったルールは、脅威の内容ごとにデフォルトのアクションが違うのがポイントだよ。

ブロック（Block）で入るもの:

• MCP Server - Remote Code Execution - CVE-2026-23744
• SolarWinds - Auth Bypass - CVE-2025-40552
• XSS - OnEvents - Cookies
• Generic Rules - Command Execution - 5 - URI

Disabled（無効）で入るもの:

• Generic Rules - Command Execution - 5 の Body / Header 版
• SQLi - Evasion の Body / Headers / URI
• SQLi - LIKE 3、SQLi - UNION - 2 の各種

新しい検知ルールをいきなり全部ブロックにするんじゃなくて、誤検知のリスクがあるものは最初は無効側で様子を見る、っていう慎重な出し方になっているのがわかるね。心配な人は、自分の環境に合わせてアクションを調整してから有効化できるよ。

まとめ

• Cloudflare の WAF マネージドルールに 2026-04-07 付で新しい検知ルールが追加されたよ
• MCP Server の RCE（CVE-2026-23744）、SolarWinds の認証バイパス（CVE-2025-40552）、Cookie 経由の XSS が主なターゲット
• 深刻なものは Block、誤検知が気になるものは Disabled と、アクションを使い分けて配信

マネージドルールを使っている運用者さんにとっては、手を動かさなくても守りが増える嬉しい更新。MCP まわりを触り始めた人は特にチェックしておきたい一本だよ！