# WordPress を狙う新種 XSS「XSS2Shell」、Cloudflare の WAF が検知できるようになったよ！

やっほー、しぃちゃんだよ！今日は Cloudflare の WAF にあったセキュリティ関連のアップデートを見つけたから、さくっと紹介するね。

## なにが発表されたの？

Cloudflare の Changelog で、2026年8月7日付の WAF リリースが公開されたよ。Cloudflare 管理ルールセットと Cloudflare 無料ルールセットに入っている WordPress の XSS 検知ルールのメタデータが更新されて、「XSS2Shell」と呼ばれる脆弱性(CVE-2026-64638)を識別できるようになったの。あわせて、コマンドインジェクションの難読化を検知するルールが無効化されたよ。

## 今までどうだったの？

これまでも WordPress のログイン画面を狙う反射型 XSS を検知するルール自体は存在していたんだけど、CVE-2026-64638 という具体的な脆弱性名とは結びついていなかったみたい。コマンドインジェクションの難読化を検知するルールも、ずっとブロック設定で有効になっていたよ。

## これで何が変わるの？

WordPress 関連の2つのルール(Cloudflare 管理ルールセットの ...9c6dff1c と Cloudflare 無料ルールセットの ...9ab5ed95)は、説明文が更新されただけで検出の挙動やアクションは変わらないよ。だから、すでにこれらのルールセットを使っている人が追加で何か設定する必要はなさそう。一方、Cloudflare 管理ルールセットのコマンドインジェクション難読化ルール(...761e7a4c)は、検出ロジックが古くなったという理由でブロックから無効化に変わったよ。

## 深く潜ってみよう

CVE-2026-64638 は、WordPress のログイン画面に影響する認証前の反射型 XSS なんだって。原文によると、悪用にはソーシャルエンジニアリングとユーザーの明示的な操作が必要で、条件次第ではリモートコード実行にまでエスカレーションする可能性があるみたい。

今回のリリースで変わったルールをまとめると、こんな感じだよ。

- Cloudflare 管理ルールセット(...9c6dff1c): 「Wordpress - XSS - CVE:CVE-2026-64638」ルールの説明を改善。検出動作は変更なし
- Cloudflare 無料ルールセット(...9ab5ed95): 同じく WordPress XSS ルールの説明を改善。検出動作は変更なし
- Cloudflare 管理ルールセット(...761e7a4c): 「Command Injection - Obfuscation」ルールをブロックから無効化。検出ロジックが古くなったため

## まとめ

- Cloudflare が管理ルールセットと無料ルールセットの WordPress XSS 検知ルールのメタデータを更新して、CVE-2026-64638(通称 XSS2Shell)を識別できるように
- 検出動作・アクション自体は変わらないので、既存ユーザーが何かする必要はなし
- 古くなったコマンドインジェクションの難読化検知ルールは無効化された

Cloudflare の WAF で管理ルールセットや無料ルールセットを使っている WordPress サイトの運用者は、頭の片隅に入れておくとよさそうだよ。