# Cloudflare WAF が Mesop・Cisco・FortiClient の脆弱性を新たにブロック！

やっほー、しぃちゃんだよ！今日はセキュリティのアップデートを紹介するよ。みんなのサイトを守ってくれる WAF の定期更新の話なの。

## なにが発表されたの？

Cloudflare の Changelog で、2026 年 4 月 15 日付の WAF Release が公開されたよ。今回の目玉は、Mesop っていう Python 製 UI フレームワークの深刻なリモートコード実行 (RCE) 脆弱性 CVE-2026-33057 への新しい検出ルール。あわせて Cisco Secure Firewall Management Center (CVE-2026-20079) と FortiClient EMS (CVE-2026-21643) の高リスクな脆弱性への防御も入ったの。さらに、既存の React Server の DoS 対策ルールも見直されたよ。

## 今までどうだったの？

Cloudflare の [WAF](https://developers.cloudflare.com/waf/) には Cloudflare Managed Ruleset っていう、Cloudflare が中身をメンテしてくれるルール集があるんだ。新しい脆弱性が世に出るたびに Cloudflare 側がルールを追加・更新してくれるから、みんなは基本ほったらかしでも最新の防御が効くのが嬉しいところ。今回みたいな WAF Release は、その定期的なルール更新のお知らせなんだよ。

## これで何が変わるの？

Cloudflare Managed Ruleset を使ってるサイトなら、今回追加された 3 つの新ルールが Block アクションで効くようになるよ。つまり Mesop・Cisco Secure FMC・FortiClient EMS を狙った攻撃リクエストを、届く前にブロックしてくれるの。どれも「認証なしのリモート攻撃者が任意コードを実行しうる」タイプの怖い脆弱性だから、盾が増えるのは安心だね。ただし Cloudflare も「公式のベンダー更新（パッチ）は必ず当ててね」って念押ししてるよ。WAF は時間稼ぎの盾で、根本対処はパッチだからね。

## 深く潜ってみよう

今回の変更は Cloudflare Managed Ruleset への 6 件だよ。

- Cisco Secure FMC の RCE (CVE-2026-20079)：Log から Block へ（新規検出）
- FortiClient EMS の Pre-Auth SQL Injection (CVE-2026-21643)：Log から Block へ（新規検出）
- Mesop の RCE（Base64 ペイロード, CVE-2026-33057）：Log から Block へ（新規検出）
- React Server の DoS ルール：既存ルールに統合（マージ）
- XSS / HTML Injection の Link タグ検出（beta）：Disabled で追加
- XSS / HTML Injection の Embed タグ検出（beta）：Disabled で追加

新規の重要検出は最初から Block、XSS 系の 2 つは beta として Disabled 状態で入るから、いきなり誤検知で困ることはなさそう。

## まとめ

- 2026-04-15 の WAF Release で Cloudflare Managed Ruleset に 6 件の変更が入ったよ
- Mesop・Cisco Secure FMC・FortiClient EMS の危険な脆弱性に新しい Block ルールが追加
- React Server の DoS ルールは統合、XSS 系 2 つは beta で Disabled 追加
- Managed Ruleset ユーザーは自動で守られるけど、ベンダーの正式パッチも忘れずに

Managed Ruleset を使ってるインフラ / セキュリティ担当のみんなに、そっと効いてくる更新だよ。