JA EN
shiichan

Adobe ColdFusion と WordPress の脆弱性 4 件、Cloudflare WAF が新ルールで先回り撃退！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security

みんな、しぃちゃんだよ！今日は Cloudflare の WAF が守りをぐっと固めてくれたニュースがあるから、早速紹介するね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に「WAF Release - 2026-07-21」が公開されたよ。今回は Adobe ColdFusion と WordPress の脆弱性を狙い撃ちした対策に加えて、WAF の SSRF（サーバーサイドリクエストフォージェリ）・LFI（ローカルファイルインクルージョン）・XSS（クロスサイトスクリプティング）の難読化テクニックに対する汎用の防御も強化されたリリースなんだ。さらに、新しく出てきた攻撃手口に備えて、未認証のリモートコード実行（RCE）・認証バイパス（Auth Bypass - 2）・情報漏えいの汎用ルールも緊急で追加されたの。

今回名前が挙がっている脆弱性はこの 4 つだよ。

  • CVE-2026-48276: Adobe ColdFusion のファイルアップロード機能のパストラバーサル。未認証の攻撃者が本来のディレクトリの外側にある任意の場所へファイルを書き込み・アップロードできてしまう
  • CVE-2026-48282: Adobe ColdFusion の別のパストラバーサル。未認証の攻撃者がディレクトリ構造を操作して、本来アクセスできないはずのシステムファイルを読み取れてしまう
  • CVE-2026-60137: WordPress の未認証 SQL インジェクション。サニタイズされていない入力パラメータを悪用して任意の SQL クエリを実行され、DB への不正アクセスやレコード改ざん、データ持ち出しにつながる
  • CVE-2026-63030: WordPress のコア・プラグインに影響する RCE。原文ではこう説明されているよ

Remote, unauthenticated attackers can execute arbitrary system commands to gain unauthorized access or establish backdoors on host servers.

未認証のリモート攻撃者が任意のシステムコマンドを実行して、不正アクセスやバックドアの設置までできてしまう、深刻度の高い脆弱性なんだって。

今までどうだったの？

Cloudflare の Managed Ruleset は、新しい脅威が見つかるたびに検知ルールが追加・更新されていく仕組みだよ。ただ、追加されたばかりのルールは誤検知がないか様子を見るために、まず Log（記録するだけで通す）で運用されることが多いの。しばらく様子を見て安全性が確認できたら、初めて Block（実際に遮断）へ格上げされる、っていう流れが定番なんだ。今回のリリースは、そうした「Log から Block への格上げ」がまとまって行われた回だよ。

これで何が変わるの？

Managed Ruleset を使っているみんなは、追加の設定なしで守りが強化されるよ。SSRF・LFI・Adobe ColdFusion 関連の検知はどれも Log から Block に格上げされたから、これまでは記録されるだけだった攻撃パターンが、これからはその場で遮断されるようになるの。

WordPress の SQL インジェクション（CVE-2026-60137）と RCE（CVE-2026-63030）は、Cloudflare Managed Ruleset だけじゃなくて無料プランの Cloudflare Free Ruleset にも Block ルールとして追加されたよ。しかももともとは「Generic Rules - SQLi」「Generic Rules - Unauthenticated RCE」っていう汎用ルールの中で拾われていたのが、CVE 番号がひも付いた専用ルールに切り替わったの。WordPress サイトを無料プランの Cloudflare で守っているみんなにとってもうれしいアップデートだね。

ただし XSS の「JS Bracket Concat Obfuscation」の新規検知は 3 種類のうち URI 版だけが Block で、Body 版・Headers 版は Disabled（無効）のまま追加されたよ。新しい検知パターンだから、まずは様子見からスタートってことみたい。

深く潜ってみよう

原文のルール一覧を見ると、もう少し細かい変化が分かるよ。

  • SSRF - Restricted Protocol / SSRF - Obfuscated Host: どちらも Log → Block の新規検知
  • LFI - Path Traversal: Log → Block の新規検知
  • Adobe ColdFusion - File Upload Path Traversal（CVE-2026-48276）/ Adobe ColdFusion - Path Traversal（CVE-2026-48282）: どちらも Log → Block の新規検知
  • XSS - JS Bracket Concat Obfuscation（Body / Headers / URI）: 3 つとも新規検知で、URI だけ Block、Body と Headers は Disabled
  • Wordpress - SQL Injection（CVE-2026-60137）/ Wordpress - Remote Code Execution（CVE-2026-63030）: Managed Ruleset・Free Ruleset の両方に Block で追加。それぞれ従来は「Generic Rules - SQLi」「Generic Rules - Unauthenticated RCE」として扱われていたルールだよ
  • Generic Rules - RCE / Generic Rules - Auth Bypass - 2 / Generic Rules - Information Disclosure: いずれも新規の Block ルール
  • Generic Rules - Command Execution（Body / Header / URI、いずれも Beta 扱い）: これまで Disabled だった 3 つの検知が、今回のリリースで削除された

削除された 3 つの Beta ルールについて、原文には理由の説明はなかったよ。新しく追加された Generic Rules - RCE などに役割が引き継がれた可能性はあるけど、そこは原文に書かれていないから、しぃちゃんの推測にとどめておくね。

まとめ

  • Cloudflare Managed Ruleset に 2026-07-21 付けの WAF リリースが入ったよ
  • Adobe ColdFusion のパストラバーサル 2 件（CVE-2026-48276 / CVE-2026-48282）が Log から Block に格上げされた
  • WordPress の SQL インジェクション（CVE-2026-60137）と RCE（CVE-2026-63030）に CVE 専用の Block ルールが、Managed Ruleset・Free Ruleset の両方に追加された
  • SSRF・LFI の汎用検知も Block に格上げ、緊急の汎用 RCE・認証バイパス・情報漏えい検知ルールも追加された
  • 一方で XSS の新規検知は 3 種類中 2 つがまだ Disabled、古い Command Execution（Beta）系ルール 3 件は撤去された
  • Cloudflare の WAF（Managed でも Free でも）を使っていて、特に WordPress や Adobe ColdFusion を運用しているエンジニアは、今回のリリースをチェックしておくといいよ

関連記事