이번 소식
Cloudflare가 2026년 10월 21일 웹사이트를 보호하는 WAF의 긴급 규칙 추가를 공지했습니다. WAF는 사이트로 들어오는 요청을 살펴보고 공격에 해당하는 요청을 걸러내는 웹 애플리케이션 방화벽입니다. 이번에는 비정상적인 실행 요청 패턴을 대상으로 하는 Generic Rules – Anomalous Execution 규칙이 추가됐습니다.
관리형과 무료형 공지는 같은 날 나왔지만 규칙 수와 동작은 다릅니다. 날짜는 두 공식 변경 기록에 표시된 기준이며, 정확한 발표 시각과 시간대는 이번 확인에서 확정하지 않았습니다.
달라진 점
- Cloudflare Managed Ruleset: 새 규칙 4개가 추가됐습니다. 이름 끝의 번호가 1·3인 규칙은 Block, 2·4인 규칙은 Log로 안내됐습니다.
- Cloudflare Free Managed Ruleset: 새 규칙 2개가 추가됐으며, 번호 1·3 모두 Block입니다.
Block은 일치하는 요청을 차단하는 동작이고, Log는 차단하지 않고 기록하는 동작입니다. 두 공지의 이전 동작은 모두 N/A로 표시돼 있습니다. 따라서 이번 변경은 새 규칙 추가이며, 기존 기록 전용 규칙을 차단으로 바꿨다는 내용은 아닙니다. 관리형의 Log 규칙이 나중에 Block으로 전환된다는 일정도 공지에 제시되지 않았습니다.
어떤 점이 달라지나요?
사이트 운영자는 비정상적인 실행 요청에 대응하는 새 규칙을 확인할 수 있습니다. 다만 관리형에 추가된 네 규칙이 모두 요청을 막는 것은 아닙니다. 차단 규칙과 기록 전용 규칙을 구분해야 이번 업데이트로 어떤 요청이 차단되고 어떤 요청이 관찰 대상인지 이해할 수 있습니다.
공식 공지는 이번 패턴을 특정 제품의 취약점이나 CVE 번호와 연결해 설명하지 않습니다. 이름만 보고 특정 공격에 대한 방어 완료나 사이트 전체의 안전을 단정할 수는 없습니다.
사용 전 확인할 점
Cloudflare 안내에서 무료 관리형 규칙은 모든 요금제에 제공되고, Cloudflare Managed Ruleset은 Pro·Business·Enterprise 요금제에서 제공됩니다. 이미 관리형 규칙을 배포한 경우에는 그 범위가 더 넓으므로 무료형을 별도로 배포할 필요가 없다고 설명합니다.
실제 사이트에서는 배포한 규칙 집합과 예외·재정의 설정을 함께 확인해야 합니다. 관리형 규칙은 동작을 바꾸거나 비활성화할 수 있고 예외로 건너뛸 수도 있습니다. 이번 공지만으로 개별 계정의 차단 적용까지 확인한 것은 아닙니다. 설정 기준은 Cloudflare 관리형 규칙 공식 안내에서 볼 수 있습니다.
무료형에 추가된 두 차단 규칙은 10월 21일 무료 관리형 긴급 업데이트 공지를 함께 참고하세요.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.