WAFとは？脆弱性を直さなくてよくなる道具では、ありません
止められる攻撃と、止められない攻撃があります。最新のOWASP Top 10で1項目ずつ確認しました。
30秒でわかる「WAF」
- Webサイトへの通信の中身を見て、攻撃らしいリクエストだけを止める仕組みです。Web Application Firewall の略で「ワフ」と読みます。
- 通常のファイアウォールが「どこから来たか」しか見ないのに対し、WAFは「何をしようとしているか」を見ます。
- 2025年の初期侵入経路の1位は脆弱性の悪用で32%（M-Trends 2026）。カード情報を扱う事業者には、PCI DSS v4.0で2025年3月31日から自動化された防御の導入が必須になりました。
- 誤解：「WAFがあるから脆弱性の修正は後回しでいい」。実際は時間を買う仕組みであって、修理ではありません。
- 今日やること：使っているレンタルサーバーやCDNにWAF機能が付いていないか確認する。多くの場合、すでに契約に含まれています。
この記事の地図（全8章）
「WAFを入れましょう」と提案されて、通常のファイアウォールと何が違うのかを調べに来た方が多いと思います。あるいはWordPressを運営していて、記事の保存が突然エラーになるという経験からたどり着いた方かもしれません。どちらにも答えます。
この記事の中心は第3章です。WAFで止まる攻撃と止まらない攻撃を、OWASP Top 10の最新版（2025年11月公開）の10項目すべてについて1つずつ評価しました。「WAFを入れれば安心」でも「WAFは意味がない」でもない、実際の守備範囲がここに出ます。
この記事は2026年8月16日時点の内容です。攻撃分類はOWASP Top 10 2025（2025年11月公開）、統計はGoogle Cloud / Mandiant「M-Trends 2026」およびIPA『情報セキュリティ10大脅威 2026』にもとづき、出典を記事末に記載しています。
PCI DSSの要件については、公式文書の原文を直接確認できませんでした。本記事では複数の解説で内容が一致した範囲の要旨のみを記しています。正確な文言と適用条件は、必ずPCI SSCの公式文書をご確認ください。また、WAFで止まるかどうかの評価は製品・設定によって大きく異なります。
WAFとは（やさしい定義）
「どこから来たか」ではなく「何をしようとしているか」
Webサイトに届く通信の中身（リクエストの内容）を1つずつ調べて、攻撃とみなしたものだけを遮断する仕組みです。Webアプリの手前に置いて使います。
いちばん分かりやすいのは、建物の入口に立っている人の比較だと思います。
通常のファイアウォールは「入館証を確認する警備員」です。どこの誰か、どの入口から来たかを見て、通す・通さないを決めます。しかし、正しい入館証を持っている人が中で何をするかには関与しません。
WAFは「荷物の中身を見る検査員」にあたります。入館証が正しくても、持ち込もうとしている物が危険なら止めます。
| 仕組み | 見ているもの | 止められる例 | 止められない例 |
|---|---|---|---|
| ファイアウォール | 送信元・宛先・ポート番号 | 公開していないポートへの接続 | 正規の443番ポートを通る攻撃 |
| IPS/IDS | 通信のパターン（主にネットワーク層〜） | 既知の攻撃パターンの通信 | アプリ固有のロジックを突く攻撃 |
| WAF | リクエストの中身（アプリ層） | SQLインジェクション、XSSなど入力を悪用する攻撃 | 正規ユーザーとして正しくログインした攻撃者 |
| CDNのセキュリティ機能 | 通信量・接続元の傾向 | DDoS、Botの大量アクセス | 1回のリクエストで成立する攻撃 |
一般的な役割の整理です。製品によって機能範囲は重なり、1つの製品が複数を兼ねることもあります。
WAFは「入口」ではなく「入口で開く荷物」を見ている
Webサイトは、そもそも誰でもアクセスできるように公開されています。だからファイアウォールでは守れません。通していい通信の中に混ざってくる攻撃を見つける必要があり、そのために生まれたのがWAFです。
第1章 おわり — 次は第2章
なぜ必要とされているのか
侵入経路の1位が「脆弱性の悪用」になりました
WAFの必要性を示す数字が、2026年に入って揃いました。
| 指標 | 数値・順位 | 出典 |
|---|---|---|
| 2025年の初期侵入経路の1位 | 脆弱性の悪用（Exploits）32% | M-Trends 2026 |
| 同・メールによるフィッシング | 6% | M-Trends 2026 |
| 組織向け脅威の第4位 | システムの脆弱性を悪用した攻撃（6年連続9回目の選出） | IPA 情報セキュリティ10大脅威 2026 |
| 同・第2位 | サプライチェーンや委託先を狙った攻撃 | IPA 情報セキュリティ10大脅威 2026 |
出典：Google Cloud / Mandiant「M-Trends 2026」（2026年3月公表）、IPA『情報セキュリティ10大脅威 2026』（2026年1月29日公表）。
1行目と2行目を並べて見てください。長らく「まずメールに気をつけましょう」と言われてきましたが、実際の侵入は、メールの5倍以上が脆弱性の悪用から始まっています。そして公開Webアプリは、その脆弱性がインターネットから直接触れる場所にあります。
カード情報を扱うなら、すでに義務です
もう1つ、無視できない変化があります。クレジットカード情報を扱う事業者に適用される国際基準PCI DSSが、バージョン4.0で要件を変えました。
従来のバージョン3.2.1では、要件6.6として「脆弱性診断を定期的に行う」か「WAFを設置する」かの選択制でした。しかしv4.0の要件6.4.2では、一般公開されているWebアプリケーションに対して、Web攻撃を継続的に検知・防止する自動化された技術的ソリューションを配置することが求められています。この要件は2025年3月31日から必須とされています。
要件が求めているのは「WAF」という製品名ではありません
条文が求めているのは「自動化された技術的ソリューション」であり、WAFはその代表的な実装です。RASPなど他の方式でも要件を満たし得るとされています。正確な要件の文言と適用範囲は、必ずPCI SSCの公式文書でご確認ください。本記事では公式文書の原文を直接確認できていません。
第2章 おわり — 次は第3章
OWASP Top 10で、止まるものと止まらないもの
この章が、この記事でいちばん重要です
WAFの守備範囲を正確に知るには、実際に起きているWebアプリの問題と突き合わせるのがいちばんです。ここでは、Webアプリのセキュリティリスクを整理した国際的な指標OWASP Top 10の最新版（2025年11月公開）を使います。
10項目それぞれについて、WAFで止められるかを評価しました。
| 順位 | OWASP Top 10 2025 の分類 | どんな問題か | WAFで止まるか |
|---|---|---|---|
| A01 | Broken Access Control （アクセス制御の不備） | 本来見られないデータや機能に、正規ユーザーがアクセスできてしまう | ほぼ止まらない 正規のログインで正しい形の要求をしているため、攻撃に見えません |
| A02 | Security Misconfiguration （設定不備） | 初期設定のまま、管理画面が公開されている、エラーで内部情報が出るなど | 一部 管理画面へのアクセス制限などは可能。設定そのものは直りません |
| A03 | Software Supply Chain Failures （サプライチェーンの問題）［新設］ | 使っているライブラリやプラグインが汚染されている | 止まらない 正規の更新として入ってきます |
| A04 | Cryptographic Failures （暗号の失敗） | 通信や保存データの暗号化が不十分・誤っている | 止まらない 実装の問題であり、通信の中身を見ても分かりません |
| A05 | Injection （インジェクション） | SQLインジェクション、XSSなど入力値を悪用する攻撃 | 最も得意な領域 WAFが本来つくられた目的です |
| A06 | Insecure Design （安全でない設計） | そもそもの作りに問題がある（例：本人確認なしで再発行できる） | 止まらない 設計は通信では判別できません |
| A07 | Authentication Failures （認証の不備） | 弱いパスワードが通る、総当たりができるなど | 一部 連続ログイン試行の遮断は可能。設計の不備は直りません |
| A08 | Software or Data Integrity Failures （完全性の不備） | 改ざんされた更新やデータを検証せずに受け入れてしまう | 止まらない |
| A09 | Security Logging and Alerting Failures （ログと通知の不備） | 記録がない、通知されないため気づけない | 補える WAFのログ自体が記録になります |
| A10 | Mishandling of Exceptional Conditions （例外処理の誤り）［新設］ | 想定外の状態でエラー処理を誤り、情報が漏れる・処理が通る | ほぼ止まらない |
分類はOWASP Top 10 2025（2025年11月公開）にもとづきます。「WAFで止まるか」の評価は、一般的な製品特性をもとにした筆者の整理です。製品・設定・チューニングによって結果は大きく異なります。公式な評価ではありません。
この表を上から下まで見て、気づくことがあると思います。
WAFが得意なのは、10項目のうち実質1つ（A05 Injection）です。部分的に効くものを足しても3〜4項目にとどまります。1位のA01（アクセス制御の不備）にはほとんど効きません。
これはWAFが役に立たないという意味ではありません。A05のインジェクション系は、外部から自動化された攻撃が絶えず飛んでくる領域であり、放置すれば真っ先にやられます。WAFはそこを確実に受け止めます。
ただし「WAFを入れたから安全になった」と考えると、残り6〜7項目が丸ごと空いたままになります。守備範囲を正確に知っておくことが、次に何をするかの判断につながります。
OWASP Top 10 は2025年11月に更新されています
2021年版から2つの分類が新設されました。A03 サプライチェーンの問題とA10 例外処理の誤りです。またA02 設定不備が5位から2位へ大きく上昇しました。どちらもWAFでは止められない領域です。古い情報のまま「WAFで一通りカバーできる」と説明している資料には注意してください。
第3章 おわり — 次は第4章
よくある誤解と、誤検知という副作用
WAFには、他の製品にない独特の困りごとがあります
WAFは穴を塞ぐものではなく、穴の手前に検査員を立たせるものです。穴はそのまま残っています。
WAFの検知ルールをすり抜ける書き方が見つかれば、その瞬間に防御はなくなります。攻撃者はそれを探しています。WAFが稼働している間に修正を終えるための「時間を買う仕組み」と考えてください。
実際、修正パッチが提供されるまでの期間を凌ぐ仮想パッチという使い方は、WAFの正しい使い道の1つです。しかしそれは「パッチを当てなくてよい」という意味ではありません。
もう1つ、WAF固有の問題があります。誤検知です。
WAFはリクエストの中身を見て「これは攻撃らしい」と判断します。ところが、正当な操作が攻撃と同じ形に見えることがあります。たとえば次のような場面です。
| やろうとしたこと | WAFにどう見えるか | 起きること |
|---|---|---|
記事本文に <script> を含むコードを書いて保存する | XSS攻撃の試み | 保存が拒否される（403や501が返る） |
| SQLの解説記事を書いて保存する | SQLインジェクションの試み | 同上 |
| プログラムのコードを問い合わせフォームに貼る | 攻撃コードの送信 | 送信できない |
| 管理画面から設定を大量に更新する | 自動化された攻撃 | 途中で遮断される |
レンタルサーバーやセキュリティプラグインのWAFで実際によく起きる事象です。返るエラーコードやメッセージは環境によって異なります。
技術系のサイトを運営していると、必ず一度は遭遇します
セキュリティやプログラミングの解説記事は、内容そのものが「攻撃のように見える文字列」を含みます。自分のサイトの管理画面で、自分の記事が保存できなくなる——これはWAFが正しく動いている結果であって、故障ではありません。対処法は第7章にまとめました。
第4章 おわり — 次は第5章
個人サイト・WordPress運営者向け
買う前に、すでに持っていないか確認してください
個人でサイトを運営している方にとって、WAFはいちばん身近なセキュリティ製品です。理由は単純で、多くの場合すでに契約に含まれているからです。
| 優先 | やること | 費用 | 効果 |
|---|---|---|---|
| 1 | レンタルサーバーの管理画面で「WAF設定」を探し、有効になっているか確認する | 無料（契約に含まれる） | これだけで多くの自動攻撃が止まります |
| 2 | WordPress本体・テーマ・プラグインの自動更新を有効にする | 無料 | WAFで止めるより確実。穴そのものを塞ぎます |
| 3 | 使っていないプラグイン・テーマを削除する（停止ではなく削除） | 無料 | 攻撃対象を減らす。OWASP A03・A06への対策 |
| 4 | 管理画面のログインに多要素認証を設定する | 無料 | A07（認証の不備）はWAFでは守れません |
| 5 | CDN型のWAF（無料枠のあるサービスもあります）を検討する | 無料〜 | サーバー到達前に遮断できる |
| 6 | セキュリティプラグインの導入 | 無料〜 | サーバー側WAFと二重になり誤検知が増えることがあります |
優先順位は筆者の整理です。設定項目名はサーバー会社によって異なります。
2番と3番のほうが、WAFより効きます
第3章のとおり、WAFで止まるのはOWASP Top 10のうち実質1項目です。一方で更新と削除は、穴そのものをなくします。個人サイトが乗っ取られる原因の多くは、更新されないまま放置されたプラグインです。WAFは「更新をサボるための道具」ではなく、「更新するまでの時間を稼ぐ道具」だと考えてください。
WordPressの守り方をまとめて
設定の具体的な手順は WordPressのセキュリティ設定、いまの状態の点検は WordPressセキュリティチェック にまとめています。
第5章 おわり — 次は第6章
会社・組織でやる対策
WAFを「置く」より「運用する」ほうが難しい
組織でWAFを導入するとき、費用や製品比較の前に決めておくべきことがあります。遮断するのか、警告だけにするのかです。
| 動作モード | 攻撃が来たとき | 正当な操作が誤検知されたとき | 向いている場面 |
|---|---|---|---|
| 検知のみ（監視モード） | 記録するが通す | 業務は止まらない | 導入直後。まずここから |
| 遮断（ブロックモード） | 止める | 業務が止まる | 誤検知を潰し終えた後 |
一般的な動作モードの整理です。製品によって名称や粒度が異なります。
いきなり遮断モードで本番に入れると、必ず業務が止まります。検知のみで数週間動かし、上がってきた検知の中から誤検知を除外していく——この作業を経てから遮断に切り替えるのが定石です。この工程を飛ばした導入は、たいてい「うるさいので無効化」で終わります。
| 順 | やること | 飛ばすとどうなるか |
|---|---|---|
| 1 | 公開しているWebアプリの一覧を作る（把握できていない資産がないか） | 守る対象が分からないままWAFを置くことになります |
| 2 | 脆弱性の修正体制を先に決める | WAFが買った時間を、誰も使いません |
| 3 | 検知のみのモードで導入する | 初日から業務が止まります |
| 4 | 検知ログを見て誤検知を除外する（チューニング） | 遮断に切り替えられません |
| 5 | 遮断モードへ切り替える | — |
| 6 | WAFのログを保全する（監査・調査に使えます） | 攻撃の記録が残りません |
一般的な導入手順の整理です。組織の規模・体制によって異なります。
1番の「一覧を作る」で、たいてい何か見つかります
退職者が立てた検証環境、解約し忘れたキャンペーンサイト、部署が独自に契約したサービス。WAFの前に置くべきものが分かっていない状態は珍しくありません。そして攻撃者は、その管理外の資産から入ってきます。
第6章 おわり — 次は第7章
WAFに止められて業務が動かないとき
WAFで最も遭遇率が高いトラブルです
記事が保存できない、フォームが送信できない、管理画面で操作するとエラーになる。WAFを使っていると、攻撃を受けるより先にこちらに遭遇します。対処の順番を書きます。
| 順 | やること | やってはいけないこと | 理由 |
|---|---|---|---|
| 1 | WAFが原因かどうかを切り分ける。403・501などのエラーが、WordPressではなくサーバー会社のデザインの画面で返っていればWAFの可能性が高い | プラグインを片っ端から無効化する | 原因が違うところにあると、無関係な変更でさらに壊れます |
| 2 | 送ろうとした内容に、攻撃に見える文字列がないか確認する（コード、SQL、タグなど） | 何度も同じ内容で再送信する | 心当たりがあれば、それが原因です。再送しても結果は同じです |
| 3 | 内容側で回避できないか試す。コードは実体参照に置き換える、コードブロックに入れる | いきなりWAFを止める | 防御を下げずに解決できるなら、それがいちばんです |
| 4 | サーバー会社のWAFログを見て、どのルールが反応したか確認する | 推測で設定を変える | 多くのサーバー会社は管理画面でログを提供しています |
| 5 | どうしても必要なら、そのルールだけを除外する（除外設定がある場合） | WAF全体をオフにしたまま放置する | 全体を止めると、A05への防御がまるごと消えます |
| 6 | 一時的に全体を止めた場合は、作業後すぐに戻す | 戻し忘れる | これが最も多い事故です。カレンダーに戻す予定を入れてください |
一般的な対処手順の整理です。設定項目やログの場所はサーバー会社・製品によって異なります。
WordPressのエラーはWordPressのデザインで表示されます。一方、WAFに止められた場合はサーバー会社が用意した専用のエラーページが出て、WordPressまで届いていません。「見たことのないデザインのエラー画面が出た」なら、まずWAFを疑ってください。
「面倒だからWAFをオフ」は、いちばんやってはいけない解決です
WAFが止めていたのはあなたの操作だけではありません。公開サイトには、自動化された攻撃が毎日大量に飛んできています。オフにした瞬間、それが全部素通りします。一時的に止めるなら時間を区切り、必ず戻してください。
第7章 おわり — 次は第8章
関連用語と、次に読む記事
この語とセットで覚えると理解が早くなります
| こんな方に | 次に読む記事 |
|---|---|
| WordPressの設定を直したい | WordPressのセキュリティ設定 |
| いまの状態を点検したい | WordPressセキュリティチェック |
| どの脆弱性から直すか決めたい | CISA KEVとは？実際に狙われているものだけを集めた公式リスト |
| CVEとCWEの違いを知りたい | CVEとCWEの違い |
| 侵入後に気づく仕組みを知りたい | EDRとは？／SIEMとは？ |
| 境界機器が狙われる話を知りたい | 境界機器が狙われる理由とは？ |
第8章 おわり — 最後にFAQ
WAFについてよく聞かれること
検索でよく見かける疑問から
WordPressのセキュリティプラグインはWAFですか？
WAF機能を持つものがあります。ただしレンタルサーバー側のWAFと二重になることが多く、その場合は誤検知が増えたり、動作が重くなったりします。まずサーバー側のWAFが有効かを確認し、それで足りない部分を補う形で検討するのがおすすめです。
誤検知でサイトが壊れることはありますか？
サイト自体が壊れることはありませんが、正当な操作が拒否されて業務が止まることはあります。技術系の記事を書く、コードを含むフォームを送る、といった場面でよく起こります。対処法は第7章にまとめました。全体をオフにするのではなく、内容側の書き方を変えるか、該当ルールだけを除外するのが基本です。
無料のWAFで足りますか？
個人サイトであれば、レンタルサーバーに標準で付いているWAFやCDNの無料枠で、自動化された攻撃の多くは止まります。ただし第3章のとおり、WAFが得意なのはOWASP Top 10のうち実質1項目です。無料か有料かより、更新とプラグイン整理のほうが効果が大きいと考えてください。
WAFがあれば、脆弱性の更新をサボれますか？
できません。WAFは穴を塞ぐのではなく、穴の手前で検査をする仕組みです。検知ルールをすり抜ける方法が見つかれば防御はなくなります。パッチが出るまでを凌ぐ「仮想パッチ」としての使い方は正しいですが、それは修正を先送りしてよいという意味ではありません。
出典・参考
- OWASP Top 10 2025（2025年11月公開） https://owasp.org/Top10/
- Google Cloud / Mandiant「M-Trends 2026」（2026年3月公表） https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/
- IPA 独立行政法人情報処理推進機構『情報セキュリティ10大脅威 2026』（2026年1月29日公表） https://www.ipa.go.jp/security/10threats/10threats2026.html
- PCI Security Standards Council（PCI DSS の要件については公式文書をご確認ください） https://www.pcisecuritystandards.org/
最終更新：2026年8月16日／次回見直し予定：2027年4月（OWASP Top 10の改訂とM-Trendsの公表に合わせて）
コメント