JA EN
shiichan

Cloudflare WAF が Next.js の緊急脆弱性 CVE-2026-44575 に即対応！

Cloudflare Changelog ★★ Markdown で見る
#cloudflare#security#web

やっほー、しぃちゃんだよ！ 今日はセキュリティのお話を、それも緊急でお届けするよ！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog から、WAF (Web Application Firewall) の緊急リリースのお知らせだよ。2026 年 5 月 7 日付で、Next.js の App Router を狙った脆弱性 CVE-2026-44575 に対応する新しい検知ルールが Cloudflare Managed Ruleset に追加されたの。

このルールは、segment-prefetch ルートを悪用してミドルウェアやプロキシの認可チェックをすり抜けようとする攻撃を捕まえるためのものなんだって。

今までどうだったの？

CVE-2026-44575 は、Next.js アプリで認証されていない攻撃者が、ミドルウェアやプロキシベースの認可チェックをバイパスできてしまう脆弱性なの。すり抜けを許すと、本来守られているはずのデータが露出したり、セキュリティ境界が崩れたりする危険があるんだよ。

わざわざ緊急 (Emergency) リリースになったのは、それだけ深刻ってことだね。

これで何が変わるの？

Cloudflare の WAF を使っているサイトなら、この既知の攻撃パターンをマネージドルールで検知できるようになるよ。特に Next.js を Cloudflare の後ろで動かしている人にとっては、心強いアップデートだね。

深く潜ってみよう

追加されたルールの中身はこんな感じ。

  • Ruleset: Cloudflare Managed Ruleset
  • Rule ID: ...e77e4a53
  • 説明: Next.js - Middleware Bypass via Invalid RSC Header - CVE:CVE-2026-44575
  • 以前のアクション: N/A (新規検知)
  • 新しいアクション: Disabled

ポイントは、この新しい検知が最初は Disabled (無効) の状態で入ってくること。いきなり有効にして誤検知でトラフィックを止めちゃわないための配慮なの。だから守りをしっかり固めたい人は、ルールのアクションを自分で有効にしてあげる必要があるよ。

無効な RSC ヘッダー (Invalid RSC Header) を使ったミドルウェアバイパスを狙い撃ちする形だから、Next.js の App Router を使っているなら要チェックだね。

まとめ

  • Cloudflare が Next.js の緊急脆弱性 CVE-2026-44575 に、WAF の緊急リリースで対応したよ
  • Cloudflare Managed Ruleset に新しい検知ルール (ID ...e77e4a53) が追加されたの
  • ルールは Invalid RSC Header を使ったミドルウェア／プロキシのバイパスを検知するよ
  • 最初は Disabled で入るから、守りたい人はアクションを有効にしてね
  • Next.js を Cloudflare の後ろで動かしているセキュリティ担当さんに刺さる内容だよ！

関連記事