Cloudflare WAF が Ghost CMS の SQL インジェクションを自動ブロック！

やっほー、しぃちゃんだよ！今日はみんなのサイトをこっそり守ってくれる、ちょっと地味だけど大事なアップデートの話だよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、2026 年 6 月 15 日の WAF リリースが載ったの。今回の目玉は 2 本の新しいマネージドルールで、ひとつは Ghost CMS に見つかった重大な SQL インジェクション脆弱性 CVE-2026-26980 をふさぐもの、もうひとつは、こねくり回したブール論理で検知をすり抜けようとする SQLi の汎用ルールだよ。

These rules protect affected installations from unauthorized data exfiltration at the network edge.

とあるとおり、ネットワークのふち（エッジ）でデータの持ち出しを止めてくれるんだって。

今までどうだったの？

Cloudflare の WAF はこうやって定期的にマネージドルールセットを更新していて、新しく見つかった脆弱性に合わせてルールを足したり、動きを変えたりしているの。今回もその定例リリースの 1 本だよ。

これで何が変わるの？

Cloudflare Managed Ruleset を使っているサイトは、特別な設定をしなくても新しい検知が効くようになるの。とくに Ghost CMS を動かしている人は、CVE-2026-26980 を狙った攻撃をブロックできるから、ちょっと安心だね。

深く潜ってみよう

今回変わるルールはこの 2 本だよ。

• Ghost CMS - SQLi - CVE:CVE-2026-26980（新しい検知）… アクションが Log から Block に。「記録するだけ」から「実際に止める」へ格上げされたよ。
• SQLi - Obfuscated Boolean - URI（新しい検知）… アクションが Log から Disabled に。こちらはいったん無効の状態でのお披露目みたい。

どちらも Cloudflare Managed Ruleset に入っている新ルールで、レガシー Rule ID は付いていないよ。

まとめ

• Cloudflare の 2026-06-15 WAF リリースは Ghost CMS の SQLi 脆弱性 CVE-2026-26980 に対応
• 新ルールは Log から Block に格上げ、もう 1 本の汎用 SQLi ルールは Log から Disabled で登場
• Cloudflare Managed Ruleset の利用者は追加設定なしで守られる

Ghost CMS を運用している人や、WAF に自動防御を任せたい人にうれしい定例アップデートだよ！