Cloudflare: תקלה של 25 דקות ב-5 בדצמבר פגעה ב-28% מהתעבורה, ולא הייתה מתקפה
ב-5 בדצמבר 2025 החזירה Cloudflare שגיאות 500 לחלק מהלקוחות במשך 25 דקות. לפי החברה, שינוי ב-WAF שנועד להגן מפני חולשת React הפעיל באג ישן, ולא מדובר במתקפה.
TL;DR בקצרה
- ב-5 בדצמבר 2025, מ-08:47 עד 09:12 UTC, חזרו שגיאות HTTP 500 לאתרים שמשרתים כ-28% מהתעבורה של Cloudflare. בשעון ישראל זה 10:47 עד 11:12.
- הסיבה: אחרי הגדלת מאגר הבדיקה ב-WAF מ-128KB ל-1MB, כדי להגן מפני CVE-2025-55182, כיבתה Cloudflare כלי פנימי. השינוי השני הופץ בבת אחת והפעיל באג ישן בפרוקסי FL1.
- הנפגעים היו לקוחות על פרוקסי FL1 הישן עם Cloudflare Managed Ruleset. הרשת בסין לא נפגעה.
- Cloudflare אומרת שלא הייתה מתקפה, ומתכננת fail-open, הפצה הדרגתית ובדיקות תקינות לשינויי תצורה.
ב-5 בדצמבר 2025, בין 10:47 ל-11:12 בשעון ישראל, החזיר ה-Cloudflare outage שגיאות HTTP 500 לאתרים של חלק מהלקוחות. לפי הפוסט של Cloudflare, הוא פגע בכ-28% מכלל התעבורה שהחברה משרתת. החברה מדגישה שלא הייתה מתקפה, ושמקור התקלה בשינוי שהיא עצמה הפעילה.
מה גרם ל-Cloudflare outage
Cloudflare הגדילה את מאגר הבדיקה של גוף הבקשה ב-WAF מ-128KB ל-1MB. המטרה הייתה להגן על לקוחות מפני CVE-2025-55182, חולשת React Server Components. הגודל החדש זהה למגבלת ברירת המחדל באפליקציות Next.js.
השינוי הראשון עלה בהפצה הדרגתית. בזמן ההפצה גילו המהנדסים שכלי בדיקה פנימי של ה-WAF לא תומך בגודל החדש. הכלי לא השפיע על תעבורת לקוחות, ולכן החברה ביצעה שינוי שני וכיבתה אותו.
השינוי השני עבר במערכת התצורה הגלובלית. היא לא מפיצה בהדרגה, וההפצה בה נמשכת שניות בכל הרשת. לדברי Cloudflare, כיבוי הכלי הפעיל באג במודול החוקים של הפרוקסי FL1. התוצאה הייתה חריגת Lua עם ההודעה ״attempt to index field 'execute' (a nil value)״.
הבאג הופעל כי הכיבוי חל על חוק עם פעולת execute, ו-Cloudflare מעולם לא עשתה זאת קודם. לפי החברה, הבאג חי בקוד שנים בלי שזוהה. בפרוקסי FL2, שנכתב ב-Rust, הבעיה לא התרחשה.
מי נפגע בתקלה ומי לא
הנפגעים היו לקוחות שמשרת אותם הפרוקסי הישן FL1 ושהפעילו את Cloudflare Managed Ruleset. הבקשות שלהם החזירו שגיאות 500, חוץ מכמה נקודות בדיקה כמו /cdn-cgi/trace. לקוחות בלי התצורה הזאת לא נפגעו. גם הרשת של Cloudflare בסין לא נפגעה.
ציר הזמן קצר. ב-08:47 החל השינוי להתפשט. דקה אחר כך הגיעה פגיעה מלאה. ב-08:50 הכריזה Cloudflare על אירוע, לפי התראות אוטומטיות. ב-09:11 ביטלה Cloudflare את השינוי, וב-09:12 השירות חזר במלואו.
מה Cloudflare מתכננת אחרי ה-Cloudflare outage
Cloudflare מקשרת את התקלה לתקלה ארוכה מזו, ב-18 בנובמבר 2025. גם אז שינוי הקשור לאבטחה התפשט ברחבי הרשת. לדבריה, השינויים שתכננה אחרי המקרה ההוא כנראה היו מונעים את זה, אבל היא לא סיימה להטמיע אותם.
התוכנית כוללת הפצה הדרגתית וניהול גרסאות גם לנתוני תגובה לאיומים ולתצורה, עם בדיקת תקינות וביטול אוטומטי. היא כוללת גם יכולות חירום מהירות לגישה לבקרה, לצוותים הפנימיים וללקוחות. בנוסף, החברה מתכננת טיפול בשגיאות ב-Fail-Open: תצורה פגומה תירשם ביומן והמערכת תחזור לתצורה תקינה או תעביר תעבורה, במקום להפיל בקשות.
עד שהכלים האלה יהיו מוכנים, Cloudflare אומרת שהיא נועלת את כל שינויי הרשת. היא התנצלה על ״הכאב שנגרם שוב ללקוחות ולאינטרנט כולו״.
מה זה אומר עבורכם
- בדקו אם האתר מאחורי Cloudflare: חפשו שגיאות 500 ביומנים או בניטור בין 08:47 ל-09:12 UTC ב-5 בדצמבר.
- העריכו נזק עסקי: אם החנות או טפסי הלידים שלכם היו בחלון הזה, בדקו הזמנות ולידים שחסרים וגם קמפיינים ממומנים באותה שעה.
- הוסיפו ניטור חיצוני: כלי בדיקת זמינות עצמאי מבדיל בין תקלה אצל ה-CDN לבין תקלה באתר שלכם. זו המלצה של העורך.
- תכננו תרחיש חלופי: שאלו את מנהל האתר אם אפשר לעקוף את ה-CDN בשעת תקלה, ומי מחליט על כך.
- אל תוותרו על ה-WAF: השינוי נועד להגן מפני חולשה קריטית ב-React. ההגנה האמיתית היא עדכון React ו-Next.js.
מה קרה מאז
Cloudflare עדכנה את הפוסט אחרי הפרסום. לפי ההערה בראשו, העדכון בא להבהיר את הקשר בין כלי הבדיקה הפנימי של ה-WAF לבין התקלה.
מקורות והרחבה
- Cloudflare outage on December 5, 2025Cloudflare
- Critical Security Vulnerability in React Server ComponentsReact
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
