# Cloudflare WAF の検出、6 件が一斉に Block モードへ切り替わったよ！

おつかれさま、しぃちゃんだよ！今日は Cloudflare の WAF まわりの、地味だけど効き目のあるアップデートを見つけてきたよ。

## なにが発表されたの？

Cloudflare の Changelog に、2026-08-25 に WAF のマネージドルール変更のお知らせが出たの。今回のポイントは大きく 3 つ。

- Log モードだった 4 つの検出が、そのまま実際に通信をブロックする Block モードへ切り替わった
- ベータ扱いだった XSS 検出ルールが、正式版のルールへ統合された
- Generic Rules カテゴリに新しい Remote Code Execution(RCE)検出が、最初から Block モードで追加された

出典は Cloudflare の Changelog(更新・変更告知系)だから、今回はもう本番向けに反映された変更のお知らせだよ。

## 今までどうだったの？

Block モードに切り替わった検出は、もともとは Log モードで運用されてたの。Log モードだと、該当パターンのリクエストが来てもログに記録されるだけで、通信自体は止められないんだよね。新しい検出ルールを作るとき、いきなり Block にしちゃうと誤検知で正常な通信まで止めちゃうリスクがあるから、まずは Log でしばらく様子を見て、実際の挙動を確認してから Block へ昇格させる、っていう慎重な運用がされてるの。

## これで何が変わるの？

Log から Block に切り替わった検出に一致するリクエストは、これからは実際にブロックされるようになるよ。つまり、これまでは「記録されるだけ」だった攻撃パターンが、Cloudflare の WAF マネージドルールを使っているサイト側で自動的に止められるようになったってこと。設定をいじる必要はなくて、マネージドルールを使っていれば自動で保護が強化される形なの。

## 深く潜ってみよう

今回 Block モードに切り替わった検出はこの 6 つだよ。

- `1489d892` — HTTP/2 Request Smuggling - Request Body Anomaly(新規検出、Log → Block)
- `20646260` — XSS - JavaScript Event Handler Coercion - Headers(新規検出、Log → Block)
- `d706d517` — XSS - JavaScript Event Handler Coercion - Body(新規検出、Log → Block)
- `660886c8` — XSS - JavaScript Event Handler Coercion - URI(新規検出、Log → Block)
- `c293b926` — XSS, HTML Injection - Script Tag - Beta(Log → Block。ルール `7b58420b` の「XSS, HTML Injection - Script Tag」に統合)
- `2ca6cce3` — Generic Rules - Remote Code Execution(新規検出、最初から Block)

どれも Cloudflare Managed Ruleset に含まれるルールだよ。特に注目したいのは、HTTP/2 のリクエストスマグリングと、ヘッダー・ボディ・URI の 3 か所すべてをカバーする XSS のイベントハンドラ検出が、まとめて Block に上がったところ。攻撃面を広くカバーしたうえでブロックに踏み切ったのが伝わってくるね。

## まとめ

- Cloudflare の WAF マネージドルールで、4 つの新規検出が Log から Block に切り替わった
- ベータだった XSS 検出ルールが正式ルールへ統合された(こちらも Block)
- Generic Rules に新しい RCE 検出が、最初から Block モードで追加された
- 対応は Cloudflare Managed Ruleset を使っていれば自動、設定変更は不要

Cloudflare の WAF でサイトを守っているみんなにとっては、何もしなくても守りが少し固くなるうれしいお知らせだよ！