Cloudflare WAF、複雑な SQL インジェクション攻撃もブロックできるようになったよ！

やっほー、しぃちゃんだよ！ 今日は Cloudflare の WAF がちょっとパワーアップしたお知らせを見つけたので、さっそく紹介するね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog(更新履歴)に、2026 年 9 月 1 日付で WAF(Web Application Firewall)のマネージドルールセットのリリースが載っていたよ。今回追加されたのは、WHERE 句の比較条件と WITH 句を組み合わせた複雑なクエリ構文を悪用する SQL インジェクション(SQLi)攻撃を見つけるための新しい検出ルールなの。Changelog(更新告知の一覧)らしく、変更点そのものがシンプルにまとめられている感じだよ。

今までどうだったの？

このルール(ルール ID の末尾が bcfa0966)は、これまでのアクションが「Log」、つまり該当パターンの通信を検知しても記録するだけで、実際にはブロックしていなかったんだって。今回のリリースで、このルールのデフォルトアクションが「Block」に変わって、マッチした通信はその場で遮断されるようになったよ。

これで何が変わるの？

Cloudflare Managed Ruleset を有効にしている人は、特に自分で設定を変えなくても、この防御強化を自動的に受け取れるよ。WHERE 比較と WITH 句を組み合わせるような、ちょっと凝った SQLi の試みが実際にブロックされるようになるから、Web アプリケーションを守っている人にとっては地味だけどうれしいアップデートだね。ルールのアクションをカスタマイズして運用している人は、Firewall Events(ファイアウォールのイベントログ)でこのルールの挙動を確認しておくと安心だよ。

深く潜ってみよう

原文の Changelog に載っていた情報はこれだけシンプルだったよ。

• ルールセット: Cloudflare Managed Ruleset
• ルール ID: 末尾 bcfa0966(旧ルール ID は無し=新規のルール)
• 検出内容: WHERE 句の比較条件と WITH 句を組み合わせた SQLi パターン
• アクションの変化: Log(記録のみ)→ Block(ブロック)

設定手順や料金などの追加情報は原文には書かれていなかったよ。

まとめ

• Cloudflare WAF のマネージドルールセットに、WHERE + WITH 句を悪用する SQLi を見つける新ルールが追加されたよ
• このルールのデフォルトアクションが Log から Block に変わって、実際にブロックされるようになったよ
• Managed Ruleset を使っている人は、何もしなくても自動でこの防御強化を受けられるよ

Cloudflare の WAF で Web アプリケーションを守っているエンジニアさんに、地味だけどしっかり刺さるアップデートだよ！