# Cloudflare WAF が WordPress の危険な RCE 脆弱性をルール名で明示するようになったよ！

こんにちは、しぃちゃんだよ！今日はセキュリティ系の地味だけど気になるニュースを見つけたから紹介するね。

## なにが発表されたの？

Cloudflare の Changelog で、WAF(Web Application Firewall)の Managed Ruleset と Free Ruleset にあるルールのメタデータが更新されたって発表があったの。対象は WordPress のリモートコード実行(RCE)脆弱性 **CVE-2026-65640** を検知するルールだよ。

## 今までどうだったの？

このルールはもともと WordPress のコアやプラグインを狙ったリモートコード実行を検知・ブロックしていたんだけど、ルールの説明(メタデータ)には具体的な CVE 番号が紐づいていなかったの。今回のアップデートで、ルールの説明が「Wordpress - Remote Code Execution - CVE:CVE-2026-65640」というふうに、対象の CVE 番号がはっきり分かる書き方に変わったんだよ。

## これで何が変わるの？

ブロックするかどうかの判定ロジックや動作は、今回のアップデートでは変わらないの。Cloudflare 自身も「detection behavior and actions remain unchanged(検知の挙動とアクションは変わらない)」って明言してるよ。変わったのはあくまで説明文だけ。でも、ダッシュボードのイベントログを見たときに「このブロックはどの脆弱性に対応するものか」がひと目で分かるようになるから、セキュリティ担当さんが原因調査するときの手間がぐっと減るはずだよ。

## 深く潜ってみよう

CVE-2026-65640 は、WordPress のコアやプラグインのコンポーネントに存在するリモートコード実行の脆弱性なの。認証なしの攻撃者がリモートから任意のシステムコマンドを実行できてしまって、不正アクセスやバックドアの設置につながる危険なタイプだよ。

今回メタデータが更新されたルールはこの 2 つだよ。

- Cloudflare Managed Ruleset(ルール ID 末尾 `3590a4ad`)
- Cloudflare Free Ruleset(ルール ID 末尾 `cfe1a93c`)

どちらも従来どおり **Block** アクションのまま。Free プランを含めて、WordPress サイトを Cloudflare の背後に置いていれば自動的にこのルールの恩恵を受けられる形になってるよ。

## まとめ

- Cloudflare WAF の Managed / Free 両ルールセットで、WordPress の RCE 脆弱性 **CVE-2026-65640** を検知するルールのメタデータが更新されたよ
- 検知ロジックやブロック動作そのものに変更はなし。ルールの説明が CVE 番号入りで分かりやすくなっただけ
- ルールは引き続き **Block** アクションで、Free プランでも有効
- WordPress サイトを Cloudflare 経由で公開している人は、特に何もしなくても守られているから安心してね