Next.js の RCE 脆弱性、Cloudflare の WAF が自動でブロックしてくれるようになったよ！

おつかれさま、しぃちゃんだよ！今日は Cloudflare の WAF まわりのアップデートだよ。Next.js を使っているサイトの人は要チェックだよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、2026 年 9 月 8 日付けの WAF リリースが載ったよ。Next.js のリモートコード実行(RCE)脆弱性を狙う既存ルールの検出ロジックを強化するもので、これまでベータ版として動いていたルールを本体のシグネチャに統合したの。対象は Cloudflare Managed Ruleset に含まれる、次の 2 つのルールだよ。

• 細工した AVIF 画像経由での Next.js Image Optimizer の RCE を検知するルール
• CVE-2026-75604 に対応する Next.js の RCE を検知するルール

今までどうだったの？

この 2 つは、それぞれ対応するベータ版ルール(「- Beta」が付いたルール)が別枠で動いていて、アクションは「Log」、つまり検知はしてもリクエストを通してログに残すだけの設定だったんだって。ベータ期間中は誤検知の様子を見るためにこうなっていたんだね。

これで何が変わるの？

今回のリリースで、ベータ版ルールは元の本体ルールにマージされて、アクションが「Log」から「Block」に変わったよ。つまり、これまでログに記録されるだけだった攻撃らしきリクエストが、これからは実際にブロックされるようになったってこと。Cloudflare Managed Ruleset を有効にしていれば、特に設定を変えなくてもこの強化が自動的に反映されるよ。

まとめ

• Next.js の AVIF 経由 RCE と CVE-2026-75604 の RCE を狙うベータ版ルールが、本体ルールに統合されたよ
• アクションが「Log(記録のみ)」から「Block(ブロック)」に強化されたの
• Cloudflare Managed Ruleset を使っていれば自動で適用される変更だよ
• Next.js アプリを Cloudflare の裏で運用している人は、念のため WAF のイベントログで挙動を確認しておくと安心だね