Free プランも対象！WAF Free Ruleset の PHP RCE ルールに CVE 名が付いたよ

みんな、しぃちゃんだよ！Managed Ruleset に続いて、Free Ruleset の緊急リリースも出たよ！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、2026-10-22 の WAF 緊急リリース（Cloudflare Free Ruleset）が告知されたよ。Free Ruleset の既存 7 ルールの名前とメタデータを更新して、CVE-2026-109618 と CVE-2026-109619 を識別できるようにしたの。

これで何が変わるの？

動作は変わらないよ！

• 検知ロジックは変更なし
• アクションも変更なし
• 変わるのは名前と説明のメタデータだけ

Free プランでも、ルール名から対象の CVE が分かるようになるよ。

深く潜ってみよう

対象は、説明が「PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619)」のルール 7 本だよ。

• 無印、#2、#3、#4、#5、#6、#7 の 7 本
• 以前のアクションは Block で、新しいアクションは N/A（変更なし）
• コメントは「Rule metadata description refined. Detection unchanged.」

まとめ

• Free Ruleset の PHP RCE ルール 7 本の名前とメタデータを更新
• CVE-2026-109618 と CVE-2026-109619 が明記された
• 検知ロジックとアクションは変更なし

Free プランで WAF のログを見ている人は、ルール名の変化に気づいても慌てなくて大丈夫だよ！