脆弱性を塞ぐか、サイトを落とすか 〜2025年12月Cloudflare障害に見る「緊急時の対応」準備〜

こんにちは、ゼノクリース合同会社の齋藤です。このコラム記事では、企業の Web ガバナンスや最新情報について紹介しています。

最近の Web 運用って、もはや「自社サーバだけ守れば OK」ではないですよね。

など、サイトが大きくなるほど外部依存は増えます。
そして先月(2025 年 12 月)、その現実を強く意識させられる出来事がありました。

Cloudflare が 2025 年 12 月 5 日に発生した障害の詳細を公開しています。影響は約 25 分間、Cloudflare を経由する HTTP トラフィック全体のうち約 28% に及んだ、と説明されています。

参考:Cloudflare outage on December 5, 2025 – Cloudflare Blog

この件、個人的にいちばん注目したのは「原因が”セキュリティ対策の変更”だった」という点です。

セキュリティ対策の変更で何が起きたのか？ (Cloudflare の公式まとめをざっくり)

Cloudflare の説明では、概要はこうです。

さらに技術的には、Next.js のデフォルト上限に合わせて、HTTP リクエストボディのバッファサイズを 128KB → 1MB に拡張し、その周辺の変更が連鎖して HTTP 500 を返す状態になった、とされています。

参考:Cloudflare outage on December 5, 2025 – Cloudflare Blog

ここで重要なのは、「Cloudflare の障害を他人事として眺めて終わり」ではなく、セキュリティの緊急対応は、可用性におけるリスクと常に背中合わせになるということです。

今回のCloudflareの障害背景であった、「重大な脆弱性」の対応とは?

Cloudflare が言及しているのが、React Server Components(RSC)の重大な脆弱性です。

React 公式ブログでは、CVE-2025-55182 として未認証の RCE(Remote Code Execution)が起こり得る、として緊急アップデートを呼びかけています。CVSS は 10.0 とされています。

このことについては、先月のコラム『WordPress は React を使っているけど、最近公表された React の RSC 脆弱性は関係ある?』でも取り上げました。

NVD の情報では、この CVE は CISA の Known Exploited Vulnerabilities(KEV)カタログにも入っており、米国政府機関向けには期限付きで対応が求められました(Due Date: 2025-12-12)。
参考:CVE-2025-55182 Detail – NVD

重大な脆弱性が判明した場合、対応する側・守る側もスピード勝負になりやすいです。
すると今度は、変更そのものが障害要因になり得ます。これも Web 運用の難しさだと考えています。

ここから学ぶ Web ガバナンスの論点

1) 外部依存は「資産」なので、台帳で管理する

社内での Web 資産台帳は、ドメインやサイト一覧だけになりがちです。
しかし実際は、外部依存 (CDN, WAF, 認証, フォーム, 配信, 分析ツールなど)も含めて、サイトの一部として管理する必要があります。

最低限、以下のようなものは台帳にしておくと事故対応が速くなります。

2) 「セキュリティ優先」の判断は、事前に決めておく

CVE の緊急度が高い時、現場はこのようになりがちです。

このような立場による衝突は、ルールがないと混乱してしまいます。このような重い判断を緊急時に行うのは困難です。

そのため、ガバナンスとしては「どの条件なら止めても良いか」「どの条件なら止めないか」を、平時に決めておくのが大事です。

3) 依存先が落ちた時の考え方を用意する

外部サービスは便利ですが、落ちた時に全て 500 サーバーエラーになる構成だと被害が大きすぎます。

ここで重要になるのが「Fail-open」と「Fail-close」という考え方です。

どちらが正解ということではなく、機能やページの重要度に応じて使い分けます。

このあたりは技術の話でもありますが、最終的には「事業として何を守るか」のガバナンス判断です。

サイトが増えすぎて把握できないことが最大のリスク

外部依存を台帳化しようとしても、そもそもサイト群が分散しすぎていて、棚卸しが回らないケースが多いです。これは、Web ガバナンスの最大の課題の一つです。

プライム・ストラテジーでは、増え続ける Web サイト / CMS サイトを統合し、共通の運用ルールとセキュリティルールのもとで管理する「CMS/Web プラットフォーム統合サービス」を提供しています。

また、Web ガバナンスの枠組みを作る際は、無料でダウンロードできる「Web ガバナンスガイドライン(β 版)」も良い叩き台になります。

セキュリティ事故と同じくらい怖いのが、障害で事業が止まることです。だからこそ、技術と事業の間に「意思決定の仕組み」を置くのが Web ガバナンスの役割だと考えています。

2026 年、心機一転して Web ガバナンスを見直してみることも良いと思います!