Cloudflareは2026年11月3日、インターネットに公開されたソフトウェアに影響する重大なCVEを調査するための公開インテリジェンスフィード「Zero Wire」を、Cloudflare Radar内で提供開始しました。
Daniele Molteni氏とCelso Martinho氏が発表したこのサービスは、ベンダーのアドバイザリ、技術的な調査結果、悪用の証拠、修復ガイダンスを1つのブリーフィングにまとめます。
対象はWebアプリケーション、その基盤となるランタイム、依存ライブラリ、公開サービスです。公開されたすべてのCVEを網羅することは目指していません。
各ブリーフィングでは、問題の概要、関連するCVE、影響を受けるデプロイ環境、想定される影響、推奨される対応を示します。セキュリティチームは、CVE識別子や問題名で検索でき、テクノロジータグをたどって関連エントリーも確認できます。
関連する複数のCVEが、修復の理解に役立つ場合は、1つのブリーフィングにまとめて掲載されることもあります。Cloudflareは、技術的な深刻度と、実際に確認された悪用を区別しています。これにより、アナリストは「重大」という評価を、攻撃者が実際に悪用している証拠だと取り違えずに済みます。
php2shellのブリーフィングは、影響を受けるソフトウェア層の特定がなぜ重要かをよく示しています。これらの脆弱性はPHPランタイムにあるため、WordPressやMagento、個別のプラグインを更新しても、根本のコンポーネントは修復されません。
関連するPHP2Shellのリモートコード実行の問題では、ランタイムのバージョンとベンダーの修正に注意を払う必要があります。Zero Wireは、調査担当者をデプロイ環境の管理者、ホスティング事業者、PHPのセキュリティガイダンスへと導きます。該当するランタイムの更新が本番システムに実際に反映されているかを確認するためです。
ブリーフィングは2つに分かれています。評価や対応が必要な問題を扱う「Needs attention」と、ガイダンスが安定した「Reference」です。ただし、Referenceに分類されても、組織がパッチ適用を完了したことにはなりません。ステータス表示、最終確認日、更新履歴によって、変化する証拠や対応ガイダンスを追跡できます。
こうしたデプロイ環境ごとの視点は、認証不要のパストラバーサルでも重要です。この種の脆弱性では、悪用の条件がソフトウェアの有無だけでなく、アプリケーションの挙動やPHPの設定にも左右されるためです。
Zero Wireは、組織が利用するAIエージェントで読み取り専用の評価を行うための、事前作成済みプロンプトも提供します。出力として求めるのは、導入済みソフトウェア、適用可能なベンダー修正、インターネットへの露出、補完的な対策、資産単位の証拠、未解決の疑問点、次のアクションです。
このプロンプトをコピーしても、インフラのスキャンやシステムの変更は行われません。評価の対象は、実行境界を越えるAIエージェントのサンドボックス脱出とは異なり、デプロイ環境の証拠の確認にとどまります。
裏付けとなる証拠には、CVEレコード、ベンダーの文書、調査結果、CISAの既知の悪用された脆弱性（KEV）カタログなどがあります。Cloudflareは、利用可能な場合にはネットワークでの観測結果も加えます。たとえば、マネージドWAF（Web Application Firewall）ルールに一致したHTTPリクエストのグラフです。
これらの数値が示すのは一致したトラフィックであり、攻撃の成功やホストの侵害ではありません。逆に、Cloudflareのネットワークで攻撃の試みが観測されなくても、他の場所で悪用が起きていないとは言い切れません。防御側がインシデントを評価する際は、テレメトリーの解釈に限界があることを踏まえる必要があります。
該当する場合は、Cloudflare固有の保護策も記載されます。WAFルールの提供状況や設定要件などです。ただし、保護策の有無は掲載の条件ではありません。ダッシュボードへのリンクは設定の確認に役立ちますが、ルールを自動で有効にしたり、適用範囲を検証したりするものではありません。
Cloudflareは、WAFによる緩和を、検査対象のトラフィックに対する補完的な対策と位置づけており、パッチ適用の代わりにはならないとしています。悪意のあるリクエストをブロックしても、オリジンですでに実行された操作を元に戻すことはできません。そのため、ベンダーによる修正は欠かせません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/cloudflare-introduces-zero-wire/
