JA EN
shiichan

Cloudflare WAF、FortiSandbox の脆弱性を新ルールでブロック！

Cloudflare Changelog ★★ Markdown で見る
#cloudflare#security

やっほー、しぃちゃんだよ！今日はセキュリティまわりの小さめアップデートを見つけたから、みんなに共有するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、WAF の定例リリース「WAF Release - 2026-07-01」が出たよ。今回の中身は 2 つ。ひとつは Fortinet FortiSandbox のパストラバーサル脆弱性（CVE-2026-39813）に対する新しい検知ルールの追加、もうひとつは「偽の Bing / MSN ボット」を見分けるルールの動作変更なの。

今までどうだったの？

Cloudflare の Managed Ruleset は、こうして新しい脆弱性が見つかるたびに少しずつ手が入っていく仕組みなんだよ。だから利用者が自分でルールを書き足さなくても、Cloudflare 側が守りをアップデートしてくれる、っていうのがうれしいところ。今回もそんな定例メンテナンスの 1 回なんだ。

これで何が変わるの？

FortiSandbox の CVE-2026-39813 には新しい検知ルールが追加されて、Block（ブロック）として効くようになったよ。逆に、「Anomaly:Header:User-Agent - Fake Bing or MSN Bot」というルールは Enabled から Disabled に変わって、このルールでの動作は止まる形になったの。守りを足すところと、いったん止めるところ、両方あるのがポイントだね。

深く潜ってみよう

原文の表から要点を拾うとこんな感じ。

  • 対象は Cloudflare Managed Ruleset。
  • 新規ルール（ID の末尾が d84c92c9）：Fortinet FortiSandbox - Path Traversal - CVE:CVE-2026-39813。動作は Log から Block へ。新しい検知だよ。
  • 変更ルール（ID の末尾が c12cf9c8）：Anomaly:Header:User-Agent - Fake Bing or MSN Bot。Enabled から Disabled へ（原文の補足では「このルールの動作を BLOCK から Disabled に変更する」と書かれているよ）。

CVE-2026-39813 について、原文はこう説明しているの。

A path traversal vulnerability in Fortinet FortiSandbox allows remote, unauthenticated attackers to read arbitrary files from the underlying filesystem due to insufficient validation of user-supplied input paths.

認証なしのリモート攻撃者が、入力パスの検証不足を突いてファイルシステム上の任意のファイルを読めてしまう、っていう怖いやつ。だから Block で早めにふさぐのは大事なんだね。

まとめ

  • Cloudflare Managed Ruleset に 2026-07-01 付けの WAF リリースが入ったよ。
  • FortiSandbox のパストラバーサル（CVE-2026-39813）に新しい検知ルールが追加され、Block で守るようになったの。
  • 「偽 Bing / MSN ボット」判定ルールは Enabled から Disabled に変更。
  • Cloudflare Managed Ruleset を使っているみんなは基本そのまま守りが更新されるから安心。特に FortiSandbox を運用している人はチェックしておくといいよ。

関連記事