핵심 요약 Cloudflare가 2026년 9월 22일 WAF Managed Ruleset 업데이트를 배포하며 SSRF 3종과 SSTI 1종의 신규 탐지 규칙을 Log에서 Block으로 전환했습니다. 9월 15일 사전 공지에서는 네 규칙이 Log 동작으로 예정돼 있었지만, 별도로 공개된 9월 22일 실제 릴리스 문서에서 모두 Previous Action: Log / New Action: Block으로 확인됩니다.
주요 변경 대상은 SSRF - Cloud,Link-Local non-standard IP notation, SSRF - Block jar HTTP loopback payload, SSRF - Local non-standard IP notation, SSTI - Jinja Dangerous Globals Chain입니다. 네 규칙 모두 Cloudflare Managed Ruleset의 신규 탐지이며 실제 릴리스 표에 새 동작이 Block으로 명시됐습니다.
개발자 영향 Cloudflare Managed Ruleset을 사용하는 서비스에서는 해당 SSRF·SSTI 패턴이 이제 단순 기록이 아니라 차단 대상이 됩니다. 정상 요청이 새 탐지에 걸리지 않는지 Security Events를 확인하고, 필요한 경우 애플리케이션 트래픽과 예외 정책을 점검하는 것이 좋습니다.
발표 시각(KST) 2026년 9월 22일 · 세부 시각 미공개
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.
