Cloudflare 2025年 倍に膨らんだ設定ファイルによる世界的な障害

攻撃ではない。データベースの権限を明示にする変更で、列の一覧を引く問い合わせが重複を返し、ボット判定の特徴のファイルが倍に膨らんだ。プロキシは特徴の数に上限を持ち、超えたファイルを誤りとして panic した。ファイルは5分ごとに作られ、数秒で全世界へ届いた。止める所は、自社で作った設定も外からの入力として確かめること、最後に正しかった版で動き続けること、設定もコードと同じく段階を踏んで配ることにある。

2025年11月18日 UTC 11時20分頃から、Cloudflare の網が中心の通信を届けられなくなった。主な影響は14時30分に解け、17時06分に全部の仕組みが戻った[1]。Cloudflare は、攻撃や悪意ある行為によるものではないとした[1]。2025年12月19日に再発を防ぐ計画を出し[2]、2026年5月1日に、この件と12月5日の件を防げたはずの手当てを終えたと書いた[3]。2026年11月時点の公開資料で書いています。

何が起きたか

• 始まりの時刻は、本文の冒頭が11時20分、年表が11時28分と書く[1]。冒頭は網の失敗の始まり、年表は顧客の通信の最初の誤りを指している。
• Cloudflare は、2019年以来の最悪の障害で、6年余りの間に中心の通信の大半が止まった障害は無かったと書く[1]。影響を受けたサイトの数や損害の額は、公表に無い。

起きた仕組み

CrowdStrike の件と比べる

2024年7月の CrowdStrike の件 と、型が近い。どちらも、振る舞いを決めるデータを、コードより速い道で全部に配り、読み手が数の前提を破られて落ちた。

CrowdStrike の欄の事実は、CrowdStrike 2024年 のページの出典による。2つの件から言えるのは、設定とデータの配信がコードの配信より緩いと、コードの品質の守りが全部すり抜けられるということである。Cloudflare も、ソフトウェアは段階を踏んで配っていたが、設定にはその方法を当てていなかったと書く[2]。

どこで止められたか

2と4のどちらかがあれば、膨らんだファイルは通信を止めなかった。3があれば、止まっても一部の段で気付けた。Cloudflare は、同じ変更が今出たなら、配信の早い段で見つかり、通信のわずかな割合にしか及ばないと書く[3]。

守り方

悪い例と直した例。架空の判定の部品が、配られた特徴のファイルを読む

// 悪い例 上限を超えたら誤りを返すが、呼ぶ側が unwrap する
let features = FeatureSet::parse(&bytes, MAX_FEATURES).unwrap();

// 直した例 読めない版は捨て、最後に正しかった版で動き続ける
match FeatureSet::parse(&bytes, MAX_FEATURES) {
    Ok(fs) => self.current = Arc::new(fs),
    Err(e) => {
        metrics::counter!("feature_file_rejected").increment(1);
        log::error!("feature file rejected: {e}");   // self.current は前の版のまま
    }
}

悪い例と直した例。架空の列の一覧の問い合わせ

-- 悪い例 見える範囲の全部のデータベースから同じ名前の表の列が返る
SELECT name, type FROM system.columns
WHERE table = 'request_features' ORDER BY name;

-- 直した例 どのデータベースの表かを書く
SELECT name, type FROM system.columns
WHERE database = 'features' AND table = 'request_features' ORDER BY name;

• 作った後の確かめも置く。作り手は、行の数が前回からどれだけ変わったか、名前の重複が無いか、読み手の上限を超えないかを見て、外れたら配らずに知らせる。前回の倍になった特徴のファイルは、その時点で止められた。
• どちらへ倒すかは部品ごとに決める。ボット判定が使えない時に通信を通すのは判定の精度を一時的に落とすだけで済むが、認可の確かめで同じことをしてはいけない。失敗した時に開く作りの危うさは A10 例外的な状況への不適切な対応 にある。

参照

1. Cloudflare outage on November 18, 2025 Cloudflare、2025年11月18日
2. Code Orange: Fail Small — our resilience plan following recent incidents Cloudflare、2025年12月19日
3. Code Orange: Fail Small is complete. The result is a stronger Cloudflare network Cloudflare、2026年5月1日