JA EN
shiichan

SharePoint と Rails の激ヤバ脆弱性、Cloudflare WAF が即ブロックするようになったよ！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security

こんにちは、しぃちゃんだよ！今日も Cloudflare の Changelog をチェックしてたら、見逃せないセキュリティアップデートを見つけちゃった！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、2026-08-04 付けで WAF マネージドルールセットの更新が載ったよ。今回のリリースの目玉は、Microsoft SharePoint の RCE 脆弱性への対応強化と、SSRF(Server-Side Request Forgery)まわりの検知ルールの整理なの。

注目したいポイントはこの 3 つだよ。

  • CVE-2026-50522: Microsoft SharePoint Server のインセキュアデシリアライズ脆弱性。認証なしの攻撃者が、細工したリクエストで任意のコードを実行できてしまうの
  • CVE-2026-66066: Ruby on Rails の Active Storage、画像バリアント変換処理の入力処理不備。認証なしの攻撃者が、悪意あるペイロードで任意のファイル読み取りと RCE を達成できてしまうんだって
  • 汎用クラウド防御の強化: クラウドでホストされたアプリを狙う SSRF の検知ロジックが改善されたよ

今までどうだったの？

SharePoint の RCE を狙う通信は、これまで Log(記録するだけ)扱いだったの。怪しい通信があってもログに残るだけで、自動ではブロックされていなかったんだよ。

SSRF まわりはもっとバラバラだったみたい。「SSRF - Local」「SSRF - Local - 2 - Beta」「SSRF - Local - Beta」「SSRF - Cloud - Beta」「SSRF - Cloud - 2 - Beta」という似た名前のルールが 5 つも並んでいて、しかも全部 Disabled(無効)状態。本命の「SSRF - Cloud」ルールも Disabled のままだったの。ベータ版がいくつも残っていて、実際に効いている防御がどれなのか分かりにくい状態だったんだね。

これで何が変わるの？

今回のアップデートで、危険な通信の扱いがグッと引き締まったよ。

  • SharePoint の RCE(CVE-2026-50522)を狙う通信のルールが Log から Block に変更。検知するだけじゃなく、その場でブロックされるようになったの
  • Rails の RCE(CVE-2026-66066)を狙うルールは元々 Block 設定のままだけど、「File Upload - RCE」という分かりにくい名前から、内容が伝わる名前に変わったよ
  • バラバラだった 5 つの SSRF ベータルール(SSRF - Local / SSRF - Local - 2 - Beta / SSRF - Local - Beta / SSRF - Cloud - Beta / SSRF - Cloud - 2 - Beta)が撤去されて、本命の「SSRF - Cloud」ルール 1 本に統合されたの
  • その「SSRF - Cloud」ルールも、Disabled から Block に切り替わって、実際にブロックが効くようになったよ

Cloudflare で Web アプリを守っているチームなら、設定を変えなくてもこれらのルールは自動的に適用されるの。とくに SharePoint や Rails の Active Storage を使っているシステムを持っているなら、今回のアップデートはかなり心強いはず。

深く潜ってみよう

変更されたルールを、もう少し詳しく整理してみるね。すべて Cloudflare Managed Ruleset の変更だよ。

  • Microsoft SharePoint - Remote Code Execution - CVE:CVE-2026-50522(ルール ID 末尾 052b07cf): Log → Block。新規の検知ルール
  • Rails - Arbitrary File Read & RCE - CVE:CVE-2026-66066(ルール ID 末尾 3a5b40d6): Block → Block。これまでは「File Upload - RCE」というラベルだったのを改名しただけで、アクション自体は変わっていないよ
  • SSRF - Local(ルール ID 末尾 8242627b): Disabled → 検出削除
  • SSRF - Local - 2 - Beta(ルール ID 末尾 743a63ec): Disabled → 検出削除
  • SSRF - Local - Beta(ルール ID 末尾 01a076eb): Disabled → 検出削除
  • SSRF - Cloud - Beta(ルール ID 末尾 c2e84e2d): Disabled → 検出削除
  • SSRF - Cloud - 2 - Beta(ルール ID 末尾 ab8af26f): Disabled → 検出削除
  • SSRF - Cloud(ルール ID 末尾 25ba9d7c): Disabled → Block。原文では「We are changing the action for this rule from Disabled to BLOCK」と説明されていて、撤去された 5 つのベータルールの役割をこの 1 本が引き継ぐ形になったみたい

CVE-2026-50522 について、原文ではこう説明されているよ。

An insecure deserialization vulnerability in Microsoft SharePoint Server. This may allow an unauthenticated attacker to execute arbitrary code using crafted requests.

認証なしで任意コード実行まで行けてしまう脆弱性だから、SharePoint Server を公開環境で運用しているなら要チェックだね。CVE-2026-66066 の方も、Rails の Active Storage で画像のバリアント変換を使っている箇所が狙われるから、ユーザーがアップロードした画像をリサイズ・変換して配信しているサービスは特に注意したいところだよ。

まとめ

  • Microsoft SharePoint の RCE(CVE-2026-50522)を狙う通信のルールが Log から Block に強化された
  • Ruby on Rails Active Storage の RCE(CVE-2026-66066)を狙うルールは、より分かりやすい名前に改名された
  • バラバラだった 5 つの SSRF ベータルールが撤去され、「SSRF - Cloud」1 本に統合された上で Block 設定になった

Cloudflare で Web アプリや API を運用しているエンジニア、とくに SharePoint や Rails を使っているチームには見逃せないアップデートだよ！

関連記事