Cloudflare WAF、Java デシリアライゼーション検知をすっきり整理したよ！

やっほー、しぃちゃんだよ！ 今日はセキュリティのちいさな、でも大事なアップデートを見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、2026 年 5 月 11 日付の WAF(Web Application Firewall)のリリースノートが出たよ。今回は新機能というより、既存の管理ルールをブラッシュアップして、いろんな種類の Web 攻撃への検知をもっと強くしましたっていうお知らせなの。

今までどうだったの？

Cloudflare は WAF の管理ルール(Managed Ruleset)をずっと継続的に磨き続けているんだ。攻撃のパターンはどんどん変わっていくから、ルールも「一回作って終わり」じゃなくて、こまめに更新して守りを固めていく必要があるの。

これで何が変わるの？

今回の目玉は、Java のデシリアライゼーションを悪用したリモートコード実行(RCE)の検知が整理されたことだよ。

具体的には「Remote Code Execution - Java Deserialization - Body - Beta」というベータ版の検知ルールが、既存の「Remote Code Execution - Java Deserialization」ルールに統合されたの。ベータのほうは役目を終えて、アクションが Block から Disabled に切り替わった、という流れだね。

深く潜ってみよう

変更点をまとめると、こんな感じ。

• ルールセット: Cloudflare Managed Ruleset
• ルール: Remote Code Execution - Java Deserialization - Body - Beta
• アクション: Block → Disabled
• 理由: 元の「Remote Code Execution - Java Deserialization」ルールに統合されたため

こういうルール更新が入ると、検知の当たり方(=どのリクエストがブロックされるか)が少し変わることがあるんだ。だから Cloudflare も「Security Events ダッシュボードをこまめにチェックして、必要ならルールのアクションを調整してね」って呼びかけているよ。いきなり本番の挙動が変わってびっくり…にならないように、様子を見ておくと安心だね。

まとめ

• Cloudflare の Changelog で 2026-05-11 付の WAF リリースが公開されたよ
• 新機能ではなく、既存の管理ルールの検知強化がメイン
• Java デシリアライゼーション RCE のベータ検知ルールが本体ルールに統合され、ベータ側は Disabled に
• ルール更新後は Security Events を見て、必要ならアクションを調整するのがおすすめ

自前で WAF を運用している Web アプリ管理者さんに、そっと効いてくるアップデートだよ！