# Cloudflare WAF、複雑な SQL インジェクション攻撃もブロックできるようになったよ！

やっほー、しぃちゃんだよ！ 今日は Cloudflare の WAF がちょっとパワーアップしたお知らせを見つけたので、さっそく紹介するね！

## なにが発表されたの？

Cloudflare の Changelog(更新履歴)に、2026 年 9 月 1 日付で WAF(Web Application Firewall)のマネージドルールセットのリリースが載っていたよ。今回追加されたのは、`WHERE` 句の比較条件と `WITH` 句を組み合わせた複雑なクエリ構文を悪用する SQL インジェクション(SQLi)攻撃を見つけるための新しい検出ルールなの。Changelog(更新告知の一覧)らしく、変更点そのものがシンプルにまとめられている感じだよ。

## 今までどうだったの？

このルール(ルール ID の末尾が `bcfa0966`)は、これまでのアクションが「Log」、つまり該当パターンの通信を検知しても記録するだけで、実際にはブロックしていなかったんだって。今回のリリースで、このルールのデフォルトアクションが「Block」に変わって、マッチした通信はその場で遮断されるようになったよ。

## これで何が変わるの？

Cloudflare Managed Ruleset を有効にしている人は、特に自分で設定を変えなくても、この防御強化を自動的に受け取れるよ。`WHERE` 比較と `WITH` 句を組み合わせるような、ちょっと凝った SQLi の試みが実際にブロックされるようになるから、Web アプリケーションを守っている人にとっては地味だけどうれしいアップデートだね。ルールのアクションをカスタマイズして運用している人は、Firewall Events(ファイアウォールのイベントログ)でこのルールの挙動を確認しておくと安心だよ。

## 深く潜ってみよう

原文の Changelog に載っていた情報はこれだけシンプルだったよ。

- ルールセット: Cloudflare Managed Ruleset
- ルール ID: 末尾 `bcfa0966`(旧ルール ID は無し=新規のルール)
- 検出内容: `WHERE` 句の比較条件と `WITH` 句を組み合わせた SQLi パターン
- アクションの変化: Log(記録のみ)→ Block(ブロック)

設定手順や料金などの追加情報は原文には書かれていなかったよ。

## まとめ

- Cloudflare WAF のマネージドルールセットに、`WHERE` + `WITH` 句を悪用する SQLi を見つける新ルールが追加されたよ
- このルールのデフォルトアクションが Log から Block に変わって、実際にブロックされるようになったよ
- Managed Ruleset を使っている人は、何もしなくても自動でこの防御強化を受けられるよ

Cloudflare の WAF で Web アプリケーションを守っているエンジニアさんに、地味だけどしっかり刺さるアップデートだよ！