Cloudflareは2026年10月21日、Webアプリへの攻撃を防ぐWAFの新機能「full transaction detections」と「response rules」を発表しました。HTTP要求と応答を組み合わせて悪用の痕跡を検知し、応答を要求元へ届ける前に遮断できます。Freeを含む全プランで一般提供され、Cloudflare経由で通信を中継する全ゾーンが対象です。
要求だけでなく応答も照合、最初はphp2shellに対応
新しい検知機能は、利用者から届くHTTP要求と、オリジンと呼ばれる配信元サーバーの応答を突き合わせます。Cloudflareによると、不審な入力に加え、悪用が成功したことを示す応答を確認して検知する仕組みです。
最初のマネージド保護、つまりCloudflareが用意する保護機能は、最近公表されたphp2shell脆弱性に対応します。要求と応答を使う仕組みの提供開始と、あらゆる攻撃への対応は別です。今後はデータ露出や持ち出しの兆候を検知する用途にも広げる予定ですが、今回提供された機能と将来の計画は分けて把握する必要があります。
検知と対処も分かれています。検知結果を基にルールが処理を決める設計で、検知結果はSecurity Analyticsで確認できます。現時点では、要求のみを使うルールと、要求・応答を使うルールは同じ分析画面に表示されます。
応答遮断は全プラン、実行済みの処理は戻せない
応答ルールは、オリジンからの応答をWAF遮断ページやカスタム応答に置き換えます。ただし、応答を止めても、オリジンで既に実行された処理は取り消せません。応答の遮断を、サーバー側で被害が発生していない証拠として扱わないことが重要です。
マネージド応答ルールとカスタム応答ルールは、いずれも全プランに提供されました。マネージド保護の適用範囲は、特定のパスなどに絞れます。カスタム応答ルールは全顧客が最大3件作成でき、記録するLogと遮断するBlockに対応します。
要求と応答のフィールドを組み合わせて条件を作れますが、応答本文を条件にするカスタムルールには、まだ対応していません。攻撃検知結果のフィールドをカスタム応答ルールで使えるのは有料顧客です。また、応答フィールドは全アカウントへ順次展開中です。一般提供の発表だけで、自社画面ですべての条件を選べるとは判断せず、実際の表示を確認してください。
日本での提供は発表には書かれていません。日本語対応や日本向け料金、リージョンの説明もありません。
影響する会社・しない会社
- 影響する: Cloudflare経由でWebサイトなどの通信を中継するゾーンを運用している会社です。対象はFreeを含む全プランで、無料プランも確認対象です。
- 影響する: 攻撃検知結果を条件に独自の応答ルールを作りたい有料顧客です。利用できるフィールドと、最大3件という作成上限を確認する必要があります。
- 影響しない: Cloudflare経由で通信を中継していないゾーンは、今回示された対象に含まれません。Cloudflareを契約しているかだけでなく、対象サイトの通信経路で切り分けます。
- 影響しない: 応答本文を条件にしたカスタムルールを使いたい会社については、その用途にはまだ対応していません。今回の提供開始だけでは、この要件は満たせません。
