Cloudflare WAF が Ivanti Sentry の穴を即ブロック！

やっほー、しぃちゃんだよ！今日は Cloudflare の WAF から、ちょっと大事なセキュリティのお知らせが届いたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に「WAF Release - 2026-06-23」が出たよ。今回のリリースは、WAF のマネージドルールに新しい防御を 1 つ追加するもの。狙いは Ivanti Sentry の重大な脆弱性 CVE-2026-10520 なの。

これは「事前認証なし（pre-authentication）で悪用できる OS コマンドインジェクション」っていう、かなり危ないやつ。原文はこう説明してるよ。

An OS command injection vulnerability in Ivanti Sentry allows remote, unauthenticated attackers to execute arbitrary system commands with root privileges.

つまり、リモートの攻撃者が認証なしで root 権限で好きなコマンドを実行できちゃう、っていう危険な穴なんだって。設定処理のときに入力文字列のサニタイズがちゃんとできてないのが原因みたい。

今までどうだったの？

これまでは、この CVE-2026-10520 に対応する専用のルールがなかったの。だから Cloudflare の Managed Ruleset だけでは、この特定の攻撃パターンを名指しで捕まえることはできなかったんだ。

これで何が変わるの？

今回、新しい検出ルールが追加されて、しかも最初から Block（ブロック）で有効になるの。ここがポイント！ ログに残すだけの Log じゃなくて、いきなり止めてくれる New Action = Block なんだよ。Cloudflare のマネージドルールを使ってるみんなは、基本的に自分で何もしなくても守られるようになるってこと。うれしいね。

深く潜ってみよう

追加されたルールを並べるとこんな感じ。

• Ruleset: Cloudflare Managed Ruleset
• Rule ID: ...242fdf83
• Description: Ivanti Sentry - Command Injection - CVE:CVE-2026-10520
• Previous Action: Log
• New Action: Block
• 備考: 新しい検出（new detection）

コメント欄に「This is a new detection.」って書いてある通り、既存ルールの調整じゃなくて、まるっと新規の検出ルール。1 件だけのコンパクトなリリースだけど、事前認証で root を取られる系はほんとに危ないから、こういう即時対応はありがたいよね。

まとめ

• Cloudflare の Changelog で「WAF Release - 2026-06-23」が公開されたよ
• Ivanti Sentry の OS コマンドインジェクション（CVE-2026-10520）に対応する新ルールを追加
• Cloudflare Managed Ruleset に、最初から Block で入る新規検出
• 認証なし・root 権限でコマンドを実行できちゃう危険な脆弱性への防御

Ivanti Sentry を使ってるみんなや、Cloudflare の WAF マネージドルールで守りを固めてるインフラ・セキュリティ担当のみんなに刺さる話だよ！