Cloudflare、公開の脆弱性情報フィード「Zero Wire」を開始：インターネットに面したソフトウェアの重大CVEに絞り、重大度と悪用の証拠を分け、WAF一致数は侵害数ではないと明記
2026年11月3日、CloudflareはRadarのセキュリティ欄に、重大な脆弱性のブリーフィングを公開するフィード「Zero Wire」を開始しました。各ブリーフィングには平易な概要、調査すべき担当、「今すぐやること」、証拠とベンダー案内へのリンクがあり、自社のAIエージェントに渡す読み取り専用の評価プロンプトも付きますが、コピーしただけではシステムをスキャンも変更もしません。対象はインターネットに面したソフトウェアの重大CVEで、すべてのCVEではありません。重大度と悪用の証拠は分けられ、WAFルールの一致数は侵害や悪用の数ではなく、試行が見えないことは他所で悪用がないことを意味しません。CloudflareはWAFを補完的な対策とし、時間短縮の実測値は示していません。
2026年11月3日、CloudflareはCloudflare Radarのセキュリティ欄に公開の脆弱性インテリジェンスフィード「Zero Wire」を導入しました。著者のDaniele MolteniとCelso Martinhoは、AIが重大な脆弱性の発見の量と速度を高めており、セキュリティチームは次の開示が来る前に「自社は影響を受けるのか、何をしているのか」に答えなければならないと書いています。Zero Wireは、通信社のような形で出発点を提供することを目指します。記事は、Cloudflareの顧客でなくても役に立つ情報だと述べています。
各ブリーフィングには、何が起きたか、なぜ重要かの平易な説明、誰が調査すべきか、短い「今すぐやること」、証拠とベンダー案内へのリンクが含まれます。Cloudflareは、自社のAIエージェントに渡せる事前作成のプロンプトも提供します。記事によれば、このプロンプトは、展開済みソフトウェア、関連するベンダー修正、露出、補完的な対策について読み取り専用の評価を求め、資産ごとの証拠、不明点、次の行動を返させるもので、プロンプトをコピーしただけではシステムのスキャンや変更は行われません。結果の質は、自社のエージェントとチームが持つアクセス権とレビュー次第です。
範囲は意図的に狭められています。Zero WireはすべてのCVEの一覧ではなく、ベンダーのアドバイザリーや脆弱性データベースの代わりでもありません。対象は、ウェブアプリケーション、それが依存するランタイムやライブラリ、プロキシが悪用の緩和に役立つ公開サービスなど、インターネットに面したソフトウェアの重大なCVEです。Cloudflareは問題を選んで掲載し、Webアプリケーションファイアウォール（WAF）のルールなどCloudflare専用の保護があることは掲載の条件ではないとしています。ベンダーの更新や、Cloudflareが検査できる通信の外側での変更が必要な問題もあります。
ホームページは、ブリーフィングを「要注意」と「参考」に分けます。前者は積極的な評価や行動が必要な問題、後者は指針が安定した問題です。「参考」に移ったからといって、影響を受けるすべてのシステムが修正済みとは限りません。各カードには状態と最終確認日が表示され、悪用が確認されていること、調査が続いていること、ベンダー修正があることは別の意味だと記事は注意しています。重大度と実際の悪用の証拠は別であり、読者は両方を必要とするとも述べています。
証拠の部分は、記事が最も慎重な箇所です。ブリーフィングはCVE記録、調査、CISAの既知の悪用された脆弱性カタログなどの悪用の証拠にリンクし、CloudflareのWAFマネージドルールに一致した通信のグラフを添えることがあります。記事は、そのようなリクエスト数は侵害されたシステムや成功した悪用の数ではないこと、攻撃の試行を観測しても特定の組織が侵害されたとは言えないこと、Cloudflareのネットワークで試行が見えなくても他所で悪用がないとは言えないことを明言しています。ブリーフィングは、情報源が裏付けることと不明なことを分け、更新履歴に新しいアドバイザリーや変更を記録します。
例として挙がるのが、PHPランタイムの二つの欠陥php2shellです。Cloudflareの以前の記事によれば、この二つの欠陥（CVE-2026-109618とCVE-2026-109619）は10月21日に公開され、PHP 5.4以降を動かすサーバーに影響し、無料・有料の顧客には同日UTC午前3時2分から既定でWAF保護が適用され、公開の約9時間前でした。Zero Wireの要点は、アプリケーションコードやプラグインを更新してもランタイムの欠陥は直らないため、ブリーフィングが適切な担当者とPHPの案内に読者を導く、という点です。その以前の記事には、関連するCVE-2026-115560についての10月23日付の更新もあり、完全にパッチを当てた版にも影響し、サイトが既定のアップロード進捗フィールド名を使っている場合にだけWAFルールの対象になります。
Cloudflareは自社の役割についても率直です。適用できるWAFルールがあれば、ブリーフィングはそう伝えて設定要件を示し、ダッシュボードへのリンクを付けますが、リンクはルールを有効にせず、展開の検証もしません。記事は、WAFによる緩和は対象となる通信への補完的な対策であり、脆弱なソフトウェアを直す代わりにはならず、リクエストを遮断しても、すでにオリジンで実行されたことは取り消せないと述べています。チームにとってZero Wireは、ベンダーのアドバイザリーと並べて読むトリアージの補助であり、記事は時間をどれだけ節約できるかの実測データを示していません。
Sources
FAQ
Zero Wireは何を扱い、何を扱わないのですか？
ウェブアプリケーション、その実行環境やライブラリ、プロキシで緩和できる公開サービスなど、インターネットに面したソフトウェアの重大CVEのうち、チームが評価すべきものを選んで扱います。全CVEの一覧ではなく、ベンダーの告知の代わりでもなく、Cloudflare専用の保護の有無は掲載条件ではありません。
WAFルールに一致した件数は侵害されたシステム数を示しますか？
示しません。CloudflareはWAFマネージドルールに一致したリクエスト数が、侵害されたシステムや成功した悪用の数ではないと明記しています。試行を観測しても侵害の証明にならず、見えないことも他所で悪用がない証明になりません。WAFは補完的な対策で、修正は必要です。
AIエージェント用プロンプトをコピーすると自動でスキャンされますか？
されません。記事は、コピーしただけではシステムのスキャンや変更は行われないとしています。自社のエージェントに、展開済みソフトウェア、ベンダー修正、露出、補完的な対策の読み取り専用評価を求めるもので、質はエージェントのアクセス権と自社のレビューに左右されます。