Edge WAF Shields WordPress REST Endpunkte von SQLi und Unauthenticated RCE — Was Cloudflare-Kunden und -Hosts tun müssen
Entdecken Sie, wie die neuesten WAF-Erweiterungen von Cloudflare WordPress vor kritischen SQL-Injection- und RCE-Schwachstellen schützen und gleichzeitig zeitnahe Updates sicherstellen.
Cloudflare hat neue Schutzmechanismen für die Web Application Firewall (WAF) entwickelt, um zwei hochgradige Angriffe auf WordPress REST API-Anforderungspfade zu blockieren: eine SQL-Injection (SQLi) in der Datenschicht und eine nicht authentifizierte Remote-Code-Ausführung (RCE), die über REST-Batch-Endpunkte ausgelöst werden können, wenn ein persistenter Objekt-Cache vorhanden ist nicht in Gebrauch. Die Änderung Für Unternehmen, die WordPress in großem Maßstab ausführen, ist dies von Bedeutung, da sich ein Teil der Risikobegrenzung auf den Rand verlagert—Reduzierung des Expositionsfensters beim Patchen—erfordert jedoch noch zeitnahe Anwendungsupdates, um die zugrunde liegenden Schwachstellen zu beseitigen.
Metabeschreibung: Cloudflare stellt neue WAF Managed bereit Regeln zur Minderung von WordPress REST API SQL Injection und nicht authentifiziertem RCE (CVE-2026-60137, CVE-2026-63030). Erfahren Sie die praktischen Patch-Versionen, die Anleitung zur Regelaktivierung, die Überwachungsschritte und warum Edge Enforcement ergänzt—Aber niemals ersetzen—verantwortliche DNS-, TLS- und Website-Sicherheitsoperationen.
Zusammenfassung
Zwei neu offenbarte WordPress-Schwachstellen werden aktiv an der CDN/Edge-Schicht durch Cloudflare WAF Managed Rules. Wolkenflöte berichtet, dass die Regeln bei 17:03 UTC am 17. Juli 2026 und gelten allgemein für Kunden, deren Traffic über Cloudflare vermittelt wird (einschließlich kostenloser Planbenutzer über Free Rulesets). Der WAF-Schutz bietet
Häufig Gestellte Fragen
Funktionieren die neuen WAF-Regeln von Cloudflare nur für kostenpflichtige Pläne oder bestimmte Cloudflare-Produkte?
Nein. Cloudflare gibt an, dass die schutzmaßnahmen weitgehend für kunden bereitgestellt wurden, deren datenverkehr über cloudflare vermittelt wird, und dass kostenlose planbenutzer auch über free rulesets profitieren können. Am wichtigsten ist, dass Anfragen tatsächlich über den Cloudflare-Edge fließen, so dass die verwalteten Regeln REST-Pfade inspizieren und die anvisierten SQLi- und nicht authentifizierten RCE-Muster blockieren können.
Wenn die Edge WAF diese Angriffe blockiert, ist es dann noch notwendig, WordPress zu patchen?
Ja. Edge Enforcement reduziert das Belichtungsfenster während des Patchens, kann aber die zugrunde liegenden Schwachstellen in Ihrer WordPress-Anwendung nicht entfernen. Der Artikel betont, dass verwaltete Regeln zeitnahe Anwendungsupdates ergänzen und nicht ersetzen. Sie benötigen immer noch die entsprechenden WordPress-Fixversionen, um die SQLi- und nicht authentifizierten RCE-Bedingungen an der Quelle zu eliminieren.
Welche Rolle spielt ein persistenter Objekt-Cache im nicht authentifizierten REST Batch-RCE-Problem?
Der nicht authentifizierte RCE wird als über REST-Batch-Endpunkte auslösbar beschrieben, wenn kein persistenter Objekt-Cache verwendet wird. Das bedeutet, dass Konfigurationen, die auf einem nicht persistenten Caching beruhen, Sie diesem spezifischen Ausführungspfad aussetzen können. Selbst mit WAF-Schutzmaßnahmen hilft die Ausrichtung Ihrer Caching-Strategie auf sichere, unterstützte Einstellungen, das Risiko beim Patchen zu reduzieren.
Wie kann ein WordPress-Besitzer bestätigen, dass der WAF-Schutz tatsächlich für den REST-API-Datenverkehr aktiv ist?
Beginnen Sie mit der Überprüfung, ob der Traffic Ihrer Website über Cloudflare bereitgestellt wird (DNS muss auf einen Cloudflare-Datensatz eingestellt sein). Überprüfen Sie dann den Cloudflare WAF Managed Rule/Ruleset-Status in Ihrem Dashboard und überwachen Sie Sicherheitsereignisse auf Blöcke auf WordPress REST API-Anfragepfaden. Wenn Sie keine damit zusammenhängende Durchsetzung sehen, ist die wahrscheinliche Ursache die Umgehung von Cloudflare.
Werden diese WAF-Regeln andere WordPress-Endpunkte oder nur bestimmte REST-API-Anfragepfade schützen?
Cloudflare zielte auf die WordPress REST API-Anforderungspfade ab, die von den angegebenen Problemen betroffen waren, einschließlich des Verhaltens, das mit der SQL-Injection in der Datenschicht und unauthentifiziertem RCE über REST-Batch-Endpunkte verknüpft ist. Dieser Umfang ist enger als "alle WordPress". Sie sollten noch andere Teile Ihres Stapels härten und sicherstellen, dass Ihre WordPress-Konfiguration und Plugins aktualisiert werden, um nicht zusammenhängende Angriffsflächen zu vermeiden.
