Cloudflareの「Zero Wire」とは？重大な脆弱性の初動判断を助ける無料の“脆弱性ニュースワイヤー”――中身・使い方・注意点

重大な脆弱性が公表されるたびに、「自社は影響を受けるのか」「何から手を付ければいいのか」を調べるのに追われる――。2026年10月は、PHPの重大な脆弱性「PHP2Shell」をはじめ、緊急の対応を求める情報が相次ぎました（「ブラックオクトーバー」の振り返り）。

こうした中、CDN・セキュリティ大手のCloudflareが、重大な脆弱性の情報を「何が変わったのか。何が分かっているのか。今何をすべきか」という形で整理して届ける新サービス「Zero Wire」を公開しました。この記事では、Cloudflareの公式ブログと公開ページをもとに、Zero Wireの中身、使い方、読み違えやすい注意点を整理し、中小企業での活かし方を解説します。

Zero Wireとは

Cloudflareは公開の理由として、AIによって重大な脆弱性が見つかる量と速さが変わりつつあることを挙げています。AIは大規模なコードを解析し、長年見過ごされてきた深い欠陥を見つけられるようになり、セキュリティ担当者への負担が増している――。そこで、ニュース配信のように重要な動きを伝え、「次に何をすべきか」を判断しやすくすることを狙いとしています。脆弱性の公表件数が急増している背景は、「大脆弱性時代」のコラムでも解説しています。

ブリーフィングに書かれていること

Zero Wireの中心は、脆弱性ごとのブリーフィングです。公式ブログによると、主に次の要素で構成されています。

例：PHP2Shellのブリーフィング

たとえばPHP2Shellのブリーフィングでは、10月21日に公表されたPHP本体の脆弱性2件（CVE-2026-109618、CVE-2026-109619）と、その後に公表された関連の脆弱性（CVE-2026-115560）をまとめて扱っています。「WordPressやMagentoなどのアプリやプラグインを更新しても、PHP本体の脆弱性は直らない」という、誤解されやすい点もはっきり書かれています。

「今すぐやること」は5つの手順で、公開しているPHPアプリと実行環境のバージョンを特定する、PHPのセキュリティ更新を適用する（レンタルサーバーなどのマネージド環境を含む）、関連の脆弱性の勧告を個別に確認する、ログとインシデント対応の手順を確認する、更新が終わるまでエッジでの緩和策を有効にしておく、という流れです。更新の経緯には、PHPの初期ガイダンス（10月21日）、CISAのKEV登録（10月26日）などが日付順に並んでいます。

「Needs attention」と「Reference」の2つの区分

ブリーフィングは、対応の必要度によって2つに分けられています。

また、「悪用が確認されている」「調査中である」「ベンダーの修正が出ている」は、それぞれ別の情報として示されています。深刻度の高さと、実際に悪用されているかどうかは別の物差しで扱う、というのがZero Wireの考え方です。

いま掲載されているブリーフィング

2026年11月6日時点で、Zero Wireには次の6件が掲載されていました。当メディアでもそれぞれ報じています。

掲載は「重大で、インターネットに面していて、対応の判断が必要なもの」に絞られているため、件数は多くありません。毎月数千件公表される脆弱性の中から、優先して見るべきものを知る手がかりになります。

AIエージェント用プロンプトの使い方

Zero Wireの特徴の一つが、ブリーフィングごとに用意されたAIエージェント用のプロンプトです。社内のサーバーやリポジトリを調べられるAIエージェントに貼り付けて使うことを想定しています。

PHP2Shellのプロンプトでは、AIに次のことを指示しています。

• 公式の勧告を確認し、実際に動いているPHPの実行環境を洗い出す
• 3つのCVEそれぞれについて、影響があるかを評価する
• WAFなどの補完的な対策は、修正の代わりとしてではなく別枠で報告する
• 結果を表にまとめる

一方で、攻撃用のデータを送ること、メモリを使い果たさせること、システムや設定を変更することは禁止しています。「アプリを更新したからPHPも修正済み」と判断することや、確認していない範囲まで「影響なし」と結論づけることも禁じています。

つまり、プロンプトは読み取り専用の点検のためのものです。プロンプト自体が何かをスキャンしたり、修正したりするわけではありません。AIエージェントに社内環境を調べさせる場合は、どこまでの権限を与えるかを事前に決め、結果は人が確認してください。

読み違えやすい4つの注意点

Zero Wireは便利な一方、Cloudflare自身が多くの注意書きを添えています。特に誤解しやすいのは次の4点です。

1. 掲載されていない脆弱性が「安全」なわけではない

Zero Wireは、すべてのCVEを集めたデータベースではありません。ベンダーの勧告や脆弱性データベースを補うものだと位置づけられています。自社で使っている製品の脆弱性は、引き続きベンダーの発表やJVN（Japan Vulnerability Notes）などで確認する必要があります。

2. 「Reference」は「全員が修正済み」という意味ではない

Referenceに移るのは、対応方針が固まったからです。世の中の、あるいは自社のシステムがすべて修正済みになったことを意味しません。

3. 攻撃の観測グラフは「被害の数」ではない

グラフに示されるのは、CloudflareのWAFルールに一致した通信の量です。攻撃の試みが観測されても、特定の組織が侵害されたことにはなりません。逆に、Cloudflareのネットワークで観測されていないからといって、ほかの場所で悪用されていないとは限りません。

4. WAFは「修正」の代わりにならない

WAFによる防御は、WAFを通る通信に対する補完的な対策です。パッチの代わりにはならず、すでにサーバー側で起きたことを元に戻すこともできません。また、ブリーフィングにWAFの設定へのリンクがあっても、それだけでルールが有効になるわけではありません。Cloudflareを経由しない通信経路が残っていないかも確認が必要です。

中小企業はZero Wireをどう使えばよいか

専任のセキュリティ担当者がいない企業でも、Zero Wireは「今、優先して確認すべき脆弱性」を知る入口として役立ちます。次のような使い方が現実的です。

• RSSで更新を受け取る：Zero WireのRSSをメールやチャットツールに流し、新しいブリーフィングに気づけるようにする
• 自社の資産一覧と照らし合わせる：公開しているWebサイト、使っているCMS（WordPressなど）、PHPやNode.jsのバージョン、VPN機器などの一覧を用意しておき、掲載された技術タグと突き合わせる
• 「今すぐやること」を委託先に渡す：Webサイトの制作会社やレンタルサーバー、保守業者に対応を依頼する際、ブリーフィングの手順をそのまま確認項目として使う
• 日本語の情報と組み合わせる：Zero Wireの情報に加えて、JVNやIPA、JPCERT/CCの注意喚起、ベンダーの日本語の発表もあわせて確認する
• 「知る」と「直す」を分けて仕組みにする：情報を集めるだけでは被害は防げない。更新を当てる作業（パッチ管理）を、担当者の手作業に頼らず回せるようにしておく

脆弱性が見つかるペースが上がった今、すべての情報を追いかけることはできません。Zero Wireのように「重大なものだけを、対応の手順とともに届ける」情報源を一つ決めておくことは、限られた人手で優先順位をつけるうえで有効です。

よくある質問

Q. Zero Wireは無料で使えますか？

Cloudflare Radar上で公開されており、誰でも閲覧できます。Cloudflareは、利用者かどうかに関係なく役立つ情報だとしています。ただし、ブリーフィングで紹介されるWAFルールなどの防御機能を使うには、Cloudflareのサービスの利用が必要です。

Q. 日本の脆弱性情報（JVNなど）の代わりになりますか？

なりません。Zero Wireはインターネットに面した重大な脆弱性に絞った情報源で、すべての脆弱性を網羅していません。国内製品の脆弱性など、Zero Wireに載らないものも多くあります。JVNやベンダーの発表と組み合わせて使ってください。

Q. AIエージェント用のプロンプトは、そのまま使っても安全ですか？

プロンプトは読み取り専用の点検を指示し、攻撃用のデータ送信や設定変更を禁じています。それでも、AIエージェントにどこまでのアクセス権を与えるかは利用する側の判断です。本番環境で使う場合は、権限を最小限にし、結果を人が確認してください。

Q. Cloudflareを使っていれば、掲載された脆弱性は防げますか？

防げるとは限りません。WAFで緩和できるのはWAFを通る通信に対する攻撃の一部で、ソフトウェアの修正の代わりにはなりません。WAFルールが有効になっているか、Cloudflareを経由しない経路がないかを確認したうえで、パッチを適用することが基本です。

まとめ：「何が起きたか」より「何をすべきか」を早く知るために

Zero Wireは、重大な脆弱性について「何が変わったか、何が分かっているか、今何をすべきか」を一枚にまとめて届ける、新しいタイプの情報源です。対応手順やAIエージェント用のプロンプト、更新の経緯までそろっている点は、限られた人手で対応する企業にとって心強い材料になります。

一方で、掲載されていないことは安全の証明ではなく、WAFは修正の代わりになりません。Zero Wireで「何を優先すべきか」をつかみ、自社の資産一覧で影響を確かめ、更新を確実に当てる。この3つを一つの流れとして回せるかどうかが、これからの脆弱性対応の分かれ目になりそうです。

参照：Cloudflare Blog「Introducing Zero Wire, a hub for investigating critical Internet vulnerabilities」（2026年11月3日）／Cloudflare Radar「Zero Wire」／Cloudflare Radar「Zero Wire：php2shell」／CISA「Known Exploited Vulnerabilities Catalog」