Cloudflare WAF, HTTP/2 요청 스머글링·XSS 탐지 4종 차단 전환과 RCE 룰 추가

Cloudflare가 2026년 8월 25일자 WAF 릴리스에서 일부 관리형 탐지의 기본 동작을 조정했다. 이번 변경의 핵심은 기존에 관찰 위주였던 HTTP/2 요청 스머글링과 XSS 계열 탐지 일부가 실제 차단으로 올라갔다는 점이며, 운영 환경에서는 오탐 영향과 예외 정책, 애플리케이션 헤더·본문·URI 처리 흐름을 함께 점검할 필요가 있다.

차단으로 전환된 주요 탐지

이번 릴리스에서 로그 모드였던 탐지 4종이 차단 모드로 바뀌었다. 대상은 HTTP/2 Request Smuggling - Request Body Anomaly 1종과 XSS - JavaScript Event Handler Coercion의 Headers, Body, URI 3종이다.

Cloudflare 설명상 이들 항목은 새 탐지로 추가된 뒤 기본 동작이 차단으로 설정됐다. 관리형 WAF를 사용하는 서비스는 별도 커스텀 예외가 없더라도 차단 이벤트가 늘 수 있어, 최근 배포된 애플리케이션 변경과 함께 이벤트 증가 여부를 확인하는 편이 좋다.

룰 통합과 신규 RCE 탐지 추가

XSS, HTML Injection - Script Tag - Beta 룰은 기존 원본 룰로 병합됐다. 베타 룰을 기준으로 내부 문서나 예외 처리 기준을 잡아둔 경우, 앞으로는 병합 이후의 원본 룰 기준으로 정책 이름과 적용 상태를 다시 맞춰야 한다.

또한 Generic Rules - Remote Code Execution 탐지가 차단 모드로 추가됐다. 원문에는 세부 룰 ID나 영향 범위가 더 제시되지는 않았지만, 코드 실행 패턴을 폭넓게 잡는 유형인 만큼 운영 중인 업로드, 템플릿 처리, 관리용 엔드포인트에서 차단 로그가 새로 발생하는지 살펴볼 필요가 있다.

운영자가 바로 볼 점검 항목

우선 Cloudflare Managed Ruleset에서 HTTP/2 Request Smuggling - Request Body Anomaly, XSS - JavaScript Event Handler Coercion의 Headers·Body·URI 탐지가 현재 차단으로 적용되는지 확인하는 것이 우선이다. 기존에 로그로만 보던 이벤트가 서비스 요청 거부로 이어질 수 있기 때문이다.

다음으로 최근 24~72시간 기준 WAF 이벤트에서 HTTP/2 요청 처리, 사용자 입력 반사, 동적 헤더 생성, 프론트엔드가 만드는 이벤트 핸들러 문자열 관련 차단 증가가 있는지 점검해야 한다. 서버호스팅·코로케이션 환경에서도 원점 서버 자체 문제가 아니라 엣지 WAF 정책 변경으로 증상이 나타날 수 있어, 애플리케이션팀과 네트워크·보안 운영팀의 확인 지점을 분리해 보는 것이 유효하다.

일본·국내처럼 다국어 입력과 다양한 프록시 체인을 쓰는 서비스는 URI, 헤더, 본문 중 어디에서 차단이 발생하는지 먼저 구분해야 대응이 빠르다. HTTP/2를 사용하는 API나 프록시 연계 구간은 요청 본문 이상 탐지와 정상 트래픽 패턴이 겹치지 않는지도 함께 확인해야 한다.

핵심 포인트

• HTTP/2 Request Smuggling - Request Body Anomaly가 Log에서 Block으로 전환됐다.
• XSS - JavaScript Event Handler Coercion 탐지 3종(Headers, Body, URI)이 Log에서 Block으로 전환됐다.
• XSS, HTML Injection - Script Tag - Beta 룰이 기존 원본 룰로 병합됐다.
• Generic Rules - Remote Code Execution 탐지가 Block 모드로 추가됐다.