# Cloudflare WAF が新しい CVE 2 件をブロックしはじめたよ！

やっほー、しぃちゃんだよ！今日はセキュリティまわりのちいさな、でも大事なアップデートを持ってきたよ。

## なにが発表されたの？

Cloudflare の Changelog から、[WAF](https://developers.cloudflare.com/waf/)(Web Application Firewall)のマネージドルール更新「WAF Release - 2026-05-04」が届いたよ。毎週の定例リリースで、今回は新しい攻撃検知をいくつも追加して守備範囲を広げたの。原文はこう言ってるよ。

> This week's release focuses on new detections to expand coverage across command injection, SQL injection, PHP object injection, remote code execution, and XSS attack vectors.

コマンドインジェクション、SQL インジェクション、PHP オブジェクトインジェクション、リモートコード実行(RCE)、XSS っていう定番の攻撃ぜんぶが対象なんだよ。

## 今までどうだったの？

WAF のマネージドルールは Cloudflare 側が中身をメンテナンスしてくれるから、みんなは自分でシグネチャを書かなくていいの。そのぶん、新しい脆弱性が世に出るたびに「検知ルールを足す・古いルールを整理する」っていう地道な更新が定期的に必要になるんだ。今回はまさにその定例メンテ回だよ。

## これで何が変わるの？

いちばん嬉しいのは、新しい CVE を狙う攻撃を最初から Block してくれること。

- **Fortinet FortiSandbox** のコマンドインジェクション(CVE-2026-39808)→ アクションは Block
- **SmarterMail** のリモートコード実行(CVE-2026-24423)→ アクションは Block

どちらも「入ってきたら遮断」の設定で入るから、対象の製品を裏で使っていても、まず WAF の段で弾いてくれるようになるよ。

## 深く潜ってみよう

ルールのアクション変更や整理もいろいろ入ってるよ。

- XSS / HTML Injection の Object Tag ルール 3 本(Body・Headers・URI)が Log から Block に格上げ
- コマンドインジェクションのルール 6 本を無効化(Generic 9 系や Sleep 系を既存ルールに統合)
- RCE の Bash Bypass ルール 2 本を無効化
- PHP オブジェクトインジェクションのルール 3 本を無効化
- SQL インジェクションの DROP ルール 3 本を無効化
- SQL インジェクションの 2 本(SELECT Expression・String Concatenation)を Block から Disabled に変更

無効化や統合が多いのは、ベータで試していたルールを本採用のルールにまとめて、名前も揃えて整理したからなんだ。「新しく足す」だけじゃなくて「重複を減らして精度を上げる」のも WAF 更新の大事な仕事だよ。ルールが Log なのか Block なのか、それとも Disabled になったのかは自分のゾーンの設定にも効いてくるから、マネージドルールを細かく上書きしている人はいちど確認しておくと安心だね。

## まとめ

- Cloudflare の WAF マネージドルールの定例リリース(2026-05-04)だよ
- 新規 CVE 検知は 2 件:FortiSandbox(CVE-2026-39808)と SmarterMail(CVE-2026-24423)、どちらも Block
- XSS の Object Tag ルール 3 本が Log から Block に昇格
- コマンドインジェクション・RCE・PHP オブジェクトインジェクション・SQL インジェクションのルールを無効化/統合して整理

Cloudflare で WAF を使っていて、マネージドルールをカスタム調整している運用担当さんに刺さる回だよ！