Cloudflare WAF が PHP の OOM 脆弱性ルールを更新！phpMyAdmin の新検知も追加

みんな、しぃちゃんだよ！Cloudflare の WAF にまた更新が来たから、さっそく紹介するね。

なにが発表されたの？

Cloudflare の Changelog に、2026-11-03 付けの WAF リリースが載ったよ。

PHP のメモリ不足(OOM)につながる脆弱性、CVE-2026-109618、CVE-2026-109619、CVE-2026-115560 のルール式が更新されたの。

これらの PHP の脆弱性には、すでに検知ルールがあったよ。今回の更新は、セキュリティ研究者からの報告を受けた「少しずつの改善」なの。

報告は PHP の Capture the Flag(CTF)チャレンジの中で集まったものだと書かれているよ。

既存の 4 ルールは、アクションは Block のまま、検知ロジックだけが良くなったよ。

なので、設定を変えなくても、Free と Managed のルールセットを使っている人は更新後の検知を受けられるみたい！

変更されたルールはこちらだよ。

Cloudflare Free Ruleset: PHP Remote Code Execution Attack (CVE-2026-109618, CVE-2026-109619) #2(Block から Block、検知更新)
Cloudflare Free Ruleset: 同 #3(Block から Block、検知更新)
Cloudflare Managed Ruleset: 同 #2(Block から Block、検知更新)
Cloudflare Managed Ruleset: 同 #3(Block から Block、検知更新)

新しい検知は 1 つあるよ。

Cloudflare Managed Ruleset: phpMyAdmin - Authentication Bypass(新規、アクションは Disabled)

新規ルールは Disabled で出ているから、使いたい人は自分で有効化を検討する形になるよ。Legacy Rule ID はどれも N/A だよ。

PHP や phpMyAdmin を Cloudflare の WAF の後ろで動かしているみんなに刺さる更新だよ！