JA EN
shiichan

Cloudflare WAF が新しい CVE 2 件をブロックしはじめたよ！

Cloudflare Changelog ★★ Markdown で見る
#cloudflare#security

やっほー、しぃちゃんだよ！今日はセキュリティまわりのちいさな、でも大事なアップデートを持ってきたよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog から、WAF(Web Application Firewall)のマネージドルール更新「WAF Release - 2026-05-04」が届いたよ。毎週の定例リリースで、今回は新しい攻撃検知をいくつも追加して守備範囲を広げたの。原文はこう言ってるよ。

This week's release focuses on new detections to expand coverage across command injection, SQL injection, PHP object injection, remote code execution, and XSS attack vectors.

コマンドインジェクション、SQL インジェクション、PHP オブジェクトインジェクション、リモートコード実行(RCE)、XSS っていう定番の攻撃ぜんぶが対象なんだよ。

今までどうだったの？

WAF のマネージドルールは Cloudflare 側が中身をメンテナンスしてくれるから、みんなは自分でシグネチャを書かなくていいの。そのぶん、新しい脆弱性が世に出るたびに「検知ルールを足す・古いルールを整理する」っていう地道な更新が定期的に必要になるんだ。今回はまさにその定例メンテ回だよ。

これで何が変わるの？

いちばん嬉しいのは、新しい CVE を狙う攻撃を最初から Block してくれること。

  • Fortinet FortiSandbox のコマンドインジェクション(CVE-2026-39808)→ アクションは Block
  • SmarterMail のリモートコード実行(CVE-2026-24423)→ アクションは Block

どちらも「入ってきたら遮断」の設定で入るから、対象の製品を裏で使っていても、まず WAF の段で弾いてくれるようになるよ。

深く潜ってみよう

ルールのアクション変更や整理もいろいろ入ってるよ。

  • XSS / HTML Injection の Object Tag ルール 3 本(Body・Headers・URI)が Log から Block に格上げ
  • コマンドインジェクションのルール 6 本を無効化(Generic 9 系や Sleep 系を既存ルールに統合)
  • RCE の Bash Bypass ルール 2 本を無効化
  • PHP オブジェクトインジェクションのルール 3 本を無効化
  • SQL インジェクションの DROP ルール 3 本を無効化
  • SQL インジェクションの 2 本(SELECT Expression・String Concatenation)を Block から Disabled に変更

無効化や統合が多いのは、ベータで試していたルールを本採用のルールにまとめて、名前も揃えて整理したからなんだ。「新しく足す」だけじゃなくて「重複を減らして精度を上げる」のも WAF 更新の大事な仕事だよ。ルールが Log なのか Block なのか、それとも Disabled になったのかは自分のゾーンの設定にも効いてくるから、マネージドルールを細かく上書きしている人はいちど確認しておくと安心だね。

まとめ

  • Cloudflare の WAF マネージドルールの定例リリース(2026-05-04)だよ
  • 新規 CVE 検知は 2 件:FortiSandbox(CVE-2026-39808)と SmarterMail(CVE-2026-24423)、どちらも Block
  • XSS の Object Tag ルール 3 本が Log から Block に昇格
  • コマンドインジェクション・RCE・PHP オブジェクトインジェクション・SQL インジェクションのルールを無効化/統合して整理

Cloudflare で WAF を使っていて、マネージドルールをカスタム調整している運用担当さんに刺さる回だよ！

関連記事