Don't let there be another second.
On September 12, 2025, Cloudflare experienced a headache because its dashboard system and API had crashed for over an hour, not due to an external attack, but purely a bug that the dev team wrote.
.
The problem comes from the wrong way to use the React hook (useEffect). Usually, useEffect works when the specified conditions change, but the team pushes constantly changing variables into the dependency array, resulting in the function being recursed non-stop. Every time the dashboard rendering page is like firing an API into the Tenant Service API, which should only run once per page load. Finally, the API cannot be loaded. It spreads to authentication and causes other APIs to collapse.
.
At first, the team tried to solve the problem by adding resources to the Tenant API, but it didn't help because the request kept coming in and reverting the wrong code until finally having to pry the global rate limit to reduce the system load to recover the situation.
.
Tom Lianza, vice president of engineering at Cloudflare, acknowledged that this is a classic example of unguarded useEffect, although the React document itself warns against this, so it turned out to be an expensive lesson, and it also reinforces that even though it's a company known for global DDoS protection, it still misses its own DDoS.
.
Source: theregister
เหตุการณ์ที่ Cloudflare ประสบพบปัญหาระบบล่มครั้งใหญ่จากบั๊กการเขียนโค้ด useEffect ของ React เป็นตัวอย่างที่ชัดเจนว่าการดูแลและทดสอบโค้ดอย่างระมัดระวังเป็นสิ่งสำคัญมากในวงการเทคโนโลยีสมัยใหม่ ในเชิงเทคนิคแล้ว useEffect เป็น hook สำคัญที่ช่วยให้สามารถจัดการผลกระทบ (side effects) ในแอปพลิเคชัน React ได้ เช่น การเรียกข้อมูลจาก API หรือการตั้งค่าบางอย่าง เมื่อใช้ผิดวิธี เช่น ใส่ dependency ที่เปลี่ยนแปลงบ่อย ๆ ลงใน dependency array ฟังก์ชันจะถูกเรียกซ้ำไม่หยุด ทำให้ระบบถูกยิง request อย่างไม่หยุดยั้ง เหมือนเกิด API flood attack ภายในระบบเอง ซึ่งครั้งนี้เรียกว่าเป็น DDoS attack ที่มาจากภายใน (self-inflicted DDoS) สำหรับผู้พัฒนาระบบ การเข้าใจอย่างลึกซึ้งเกี่ยวกับการทำงานของ hook แต่ละตัวรวมถึง lifecycle ของ React component เป็นเรื่องจำเป็น เพื่อหลีกเลี่ยงปัญหาการทำงานซ้ำซ้อน นอกจากนี้ การใช้เครื่องมือ monitoring และ rate limiting อย่างเหมาะสมก็เป็นแนวทางที่ช่วยลดความเสี่ยงที่ระบบจะถูกโจมตี หรือ overloaded โดย request ใด ๆ จากกรณีนี้ เห็นได้ชัดว่าบริษัทที่มีชื่อเสียงด้านความปลอดภัยและป้องกัน DDoS อย่าง Cloudflare ยังไม่อาจรอดพ้นจากข้อผิดพลาดที่เกิดจากทีมพัฒนาของตนเอง ซึ่งเป็นบทเรียนสำคัญที่องค์กรอื่น ๆ ต้องให้ความสำคัญกับการทดสอบโค้ด (code review) และการศึกษาเอกสารทางเทคนิคอย่างเคร่งครัด สุดท้าย ปัญหา API ล่มครั้งนี้ยังชี้ให้เห็นถึงความสำคัญของ global rate limit ที่เป็นเหมือนเกราะป้องกันขั้นสุดท้าย ซึ่งช่วยลดโหลดระบบและฟื้นฟูสถานการณ์ให้กลับสู่สถานะปกติเร็วขึ้นผู้พัฒนาจึงควรวางแผนมาตรการเหล่านี้ควบคู่ไปกับการพัฒนาระบบ เพื่อป้องกันเหตุการณ์ซ้ำรอยและรักษาเสถียรภาพของบริการให้ดีที่สุด
