2026年10月のCloudflare One（Zero Trust）アップデートをまとめました。対象期間は2026年10月1日〜10月31日で、出典はCloudflare公式のCloudflare One Changelogおよび全体Changelogです。今月はGatewayとWorkersの統合、Accessのカスタムページ・SCIM関連機能、Cloudflare One Clientの大型リリースとホットフィックスが相次ぎ、WAN/Tunnel領域でもBGPやルーティングの強化が進みました。
今月の注目ポイント
- Gateway × Workers統合がパブリックベータに。 Gateway HTTPポリシーの「Forward」アクションから直接Workersを呼び出せるようになり、独自プロキシを立てずにリクエスト/レスポンスの加工や通知処理が可能になりました。
- Accessのユーザー向け画面がフルカスタマイズ可能に。 ログイン・拒否・CLI承認ページをHTML/Liquidテンプレートで自由に作成できます。
- Cloudflare One Clientが大型GAリリース（10/7）とその後の緊急ホットフィックス（10/12、10/20、10/21）を連続公開。 再接続の高速化やDNS信頼性向上に加え、証明書関連の緊急修正が複数回入りました。
- WANとTunnelの冗長化・拡張機能が強化。 BGP over IPsec/GREのGA、Tunnelのルート上限引き上げ（5万件）、Tunnels for Platformsなど、大規模運用を見据えた変更が目立ちます。
Gateway 関連
Gatewayの通信をCloudflare Workersへフォワード可能に（パブリックベータ）（10月15日）
すべてのZero TrustプランでGateway HTTPポリシーに「Forward」アクションが追加され、許可された通信をCloudflare Workersに転送して独自ロジックを実行できるようになりました。リクエスト/レスポンスの変換、コーチングページの表示、Slack通知やR2への保存といったバックグラウンド処理に利用できます。GatewayはHTTPリクエストポリシーをForwardポリシーより先に評価し、Workerの処理後も最終レスポンスを検査します。詳細
Application Libraryでカスタムアプリケーションを作成可能に（10月15日）
Application Libraryでホスト名やIPサブネットを組み合わせた独自の「カスタムアプリケーション」を定義し、Gateway DNS・Network・HTTPポリシーから参照できるようになりました。TCP/UDPポートで一致条件を絞り込むことも可能です。あわせてApplication Library全体の検索・フィルタ機能やGatewayポリシービルダーのUIも改善されています。詳細
GatewayのDNSロケーション/EDNS経由でDNS64をリクエスト可能に（10月13日）
IPv6専用ネットワーク向けに、Gateway DNSロケーション設定またはEDNSオプション（65051）からDNS64（AレコードからAAAAレコードを合成）を要求できるようになりました。UDP/TCP/DoT/DoHのいずれでも利用可能で、既存のcf-dns-options: dns64ヘッダーとは独立して動作します。詳細
Access 関連
ユーザー向けAccessページをHTML/Liquidで完全カスタマイズ可能に（10月27日）
ログインページ、ID拒否ページ、Forbiddenページ、コマンドライン承認ページについて、HTMLとLiquidテンプレートによるカスタマイズに対応しました。Liquid変数を使うことで、ブロック理由などユーザー向けの独自メッセージを表示できます。テンプレートはCloudflare Oneダッシュボードで作成・検証し、アプリケーション単位またはアカウントのデフォルトとして適用します。詳細
SCIMで同期されたユーザー・グループを確認できる「SCIM population viewer」を追加（10月30日）
Zero Trust > Integrations > Identity providersから、各IDプロバイダーがCloudflare Oneにプロビジョニングしたユーザー・グループを検索・閲覧できる機能が追加されました。APIリクエストやサポートチケットを使わずに同期状況を確認でき、編集権限があれば個別リソースの削除も可能です。詳細
汎用SAML経由でGoogle WorkspaceのSCIMプロビジョニングに対応（10月28日、ベータ）
Google Workspaceのカスタム SCIM プロファイル（ベータ）を利用し、汎用SAML IdP経由でユーザーの更新・削除をCloudflare Oneに同期できるようになりました。Google Workspace専用インテグレーションはSCIM非対応のため、汎用SAML IdPの設定が必須です。グループメンバーシップの同期にはGoogle SAMLアプリ側でgroups属性の送信設定が必要です。詳細
MCPツール呼び出し分析をレスポンスステータスでフィルタ可能に（10月28日）
MCPツール呼び出し分析のタイムシリーズAPIにresponse_statusパラメータ（success/error/cached/all）が追加されました。デフォルトはsuccessで、従来の全ステータス集計を取得するには明示的にallを指定する必要があります。詳細
Access拒否リダイレクトにaccount_idパラメータを追加（10月14日）
アプリ対応のAccess拒否リダイレクトに、アカウントコンテキストが利用可能な場合account_idクエリパラメータが付与されるようになりました。カスタムブロックページ側でアプリの所属アカウントを特定しやすくなります。詳細
Infrastructureアプリケーションでセッション時間を設定可能に（10月14日）
Infrastructureアプリケーション（SSHなど）でセッション時間（デフォルト24時間）を設定できるようになりました。時間経過後はアクティブなSSH接続が切断され、再接続が必要になります。複数のInfrastructureアプリケーションに一致する場合は最短のセッション時間が適用されます。詳細
Accessのサービストークン認証に「厳格モード」を追加（10月2日）
Strict service token authenticationを有効にすると、サービストークンを使ったリクエストで認証・認可に失敗した場合は常に401/403を返し、ログインページへの302リダイレクトを行わなくなります。2026年10月5日以降に作成されたZero Trust組織はデフォルトで有効（無効化不可）、それ以前に作成された組織はダッシュボードまたはAPIで設定可能です。詳細
Access for Infrastructureのターゲットタグ付け権限を簡素化（10月1日）
Infrastructure Access Targets APIでターゲットにタグを付与する際、従来必要だったTag Write権限が不要になり、Zero Trust Write権限のみで操作できるようになりました。詳細
その他 Cloudflare One 更新
Cloudflare WANでGateway HTTP検査のリージョンを指定可能に（10月30日）
Cloudflare WANのトラフィックに対して、Regional Servicesを使ったGateway処理リージョンの指定が可能になりました。HTTPS通信はIPsec/GRE/Direct CNI経由で暗号化されたまま入り、Gatewayが選択したリージョンに転送してからTLS復号・HTTP検査を行います。データ主権要件への対応を目的とした機能で、利用には統合ルーティング（unified routing）が必要です。詳細
Cloudflare One Client Windows/macOS ベータ版 2026.9.1555.1（10月22日）
両OS共通でGlobal Acceleration利用時の自動エンドポイント選択や、ネットワークがトンネルMTUを劣化・著しく低い値に制限した場合のバナー表示が追加されました。Windows版のみ、クライアントの不正な変更・アンインストールを防ぐ保護機能（管理者発行コードが必要）が追加されています。一方macOS版は本リリースからmacOS 15.0が最低動作要件となり、macOS 14では動作しなくなる点に注意が必要です。Windows詳細 / macOS詳細
Cloudflare TunnelでURL正規化に対応（10月22日）
cloudflared 2026.10.0以降でURL正規化（normalization）がサポートされ、Access検証を要するIngressルールのセキュリティが向上します。デフォルトでは無効ですが、2027年1月25日からは新規リリースでデフォルト有効化される予定のため、事前のテストが推奨されています。詳細
Tunnelの「Granular Connector Read And Monitor」ロールがGA（10月22日）
特定のCloudflare Tunnelインスタンスに対して、書き込み権限やアカウント全体へのアクセス権を与えずに読み取りとログストリーミングを許可できるロールが正式リリースされました。詳細
Cloudflare One Client Windows/macOS GAホットフィックス 2026.7.1384.0（10月21日）/ 2026.8.2115.0（10月20日、Linuxも含む）
いずれも信頼された証明書チェーンの構築に関する問題を修正するホットフィックスです。10/21版 / 10/20版
Cloud Workload Securityがベータ公開（10月19日）
クラウドAPIリクエストがクラウドプロバイダーに届く前にポリシー制御を適用する新機能「Cloud Workload Security（CWS）」がベータ公開されました。Regoによるチェックとリクエストフィルタでポリシーを定義し、例えばR2バケットを公開設定にするリクエストをブロックするといった制御が可能です。Zero Trust Freeプランから利用できます。詳細
アカウントあたりのルート上限が5万件に拡大、Tunnels for Platformsを提供開始（10月16日）
Cloudflare TunnelおよびCloudflare Meshで使用するCIDR/ホスト名ルートの上限が、デフォルト1,000件から50,000件に引き上げられました。また、1アカウントあたり標準で含まれる1,000トンネルを超えて利用できる「Tunnels for Platforms」が追加され、デバイス単位・顧客単位などでトンネルを拡張購入できます（追加1トンネルあたり月額4.50ドル）。詳細
DLPのカスタムパターンをCloudflare Workersで検証可能に（10月15日）
データ損失防止（DLP）のカスタムパターンエントリに対し、アカウント内のCloudflare Workersを使って組織固有のロジックでマッチングを検証できるようになりました。Workerはマッチの信頼度を調整したり、マッチ自体を却下したりできます。詳細
IPsec/GREトンネルでBGPルートフィルタリングに対応（10月15日）
Cloudflare WANとMagic TransitのIPsec/GREトンネルで、BGPのインポート/エクスポートフィルタリングがサポートされました。CIDR条件（完全一致・より詳細な一致・プレフィックス長一致）を指定した再利用可能なフィルタプロファイルを作成でき、プロファイル変更はBGPセッションをリセットせずに適用されます。詳細
Cloudflare One Client Windows/macOS/Linux GA 2026.8.2110.0（10月12日）
split tunnel設定（ホスト名ベース）の適用失敗によりクライアントが切断・再接続を繰り返す不具合を修正するホットフィックスです。詳細
Zero Trustダッシュボードのナビゲーションを統合（10月12日）
Zero Trustとメインダッシュボードのナビゲーションが統合され、同じメニューから両方の製品を行き来できるようになりました。Zero Trust Networksのメニュー項目は廃止され、新しい「Networking」ナビゲーションに統合されています。詳細
Cloudflare One Client Windows/macOS/Linux GA 2026.8.2100.0（10月7日、大型リリース）
split tunnelの除外対象への通信が再接続中に一時的にブロックされなくなったほか、DNS信頼性の向上、再接続の高速化、メモリ使用量の削減など多数の改善が含まれます。Windows版のみ、システムアンロック時にクライアントサービスを自動起動する仕組みや、Windows WLAN AutoConfigサービスへの依存解消が追加されています。Windows詳細 / macOS詳細 / Linux詳細
CASBインテグレーションをTerraformで作成可能に（10月7日）
Cloudflare Terraformプロバイダー（バージョン5.27.0以降）を使って、CASBインテグレーションをコードとして管理できるようになりました。OAuthを使うインテグレーションおよびプロバイダーバージョン4は非対応です。詳細
CASBでカスタム検出タイプ（custom finding types）に対応（10月5日）
Open Policy Agent（OPA）のRegoを使って、組織独自の検出ロジックをCASBに定義できるようになりました。標準の検出タイプに加え、例えば二要素認証が未設定の管理者アカウントを検出するといった、組織固有の基準でのポスチャ検出が可能です。詳細
IPsec/GREトンネル上のBGPピアリングがGA（10月5日）
Cloudflare WANとMagic TransitでBGPピアリングが正式リリースされ、本番環境でも利用可能になりました。統合ルーティング（Unified Routing）を利用するすべてのアカウントで追加の有効化作業なく利用でき、静的ルートを手動更新する必要がなくなります（BGP over CNIは引き続きクローズドベータ）。詳細
出典・対象期間: Cloudflare One Changelog および Cloudflare 全体Changelog（2026年10月1日〜10月31日分）。製品タグがGateway/Accessの記事はそれぞれの見出しに、WARP（Cloudflare One Client）・Tunnel・Mesh・DLP・WAN・CASB・Cloud Workload Securityなどの更新は「その他」にまとめています。専門用語（SCIM、BGP、DLPなど）は本文中で簡単に補足しています。