Cloudflare تضيف قواعد WAF طارئة لـ Brotli CVE-2026-111497
إصدار WAF الطارئ من Cloudflare في 25 أكتوبر 2026 يضيف قاعدتين في Managed Ruleset لـ CVE-2026-111497. كلتاهما معيّنتان افتراضياً إلى Log، لذا تسجّلان الطلبات المطابقة بدلاً من حجبها.
إصدار طارئ يضيف قاعدتين
نشرت Cloudflare إصدار WAF طارئاً بتاريخ 25 أكتوبر 2026 لـ Cloudflare Managed Ruleset. يضيف الإصدار قاعدتين متعلقتين بثغرة Brotli CVE-2026-111497. القاعدتان مفعّلتان افتراضياً، وإجراؤهما مضبوط على Log. في هذه الحالة الافتراضية، توفر القواعد رؤية للطلبات المطابقة كي يتمكن العملاء من تقييم الأثر قبل اختيار حجبها.
تُوصف القاعدة الأولى بأنها Brotli - Request Content-Encoding - CVE:CVE-2026-111497. معرّف القاعدة مدرج كـ …ca706f3c. تُوصف القاعدة الثانية بأنها Next.js - Image Optimizer Path - CVE:CVE-2026-111497. معرّف القاعدة مدرج كـ …402fe5bb. يصف المصدر كلتيهما بأنهما اكتشافات جديدة. الإجراء السابق لكل منهما غير متاح، والإجراء الجديد هو Log.
سلوك القواعد والإعدادات الافتراضية
تطابق قاعدة Brotli الطلبات الواردة التي تعلن ترميز جسم طلب Brotli عبر Content-Encoding: br. يشمل ذلك العملاء الشرعيين الذين يرسلون أجسام طلبات مشفّرة بـ Brotli. لا تطابق القاعدة Accept-Encoding: br، ولا تؤثر على إعدادات ضغط استجابات Brotli في Cloudflare. إجراؤها الافتراضي هو Log.
تطابق قاعدة Next.js الطلبات الموجهة إلى نقطة نهاية تحسين الصور في Next.js /_next/image. يشمل ذلك حركة تحسين الصور الشرعية. إجراؤها الافتراضي هو Log، ولا تحجب الطلبات. يحذر الإصدار من أن تغيير الإجراء إلى Block قد يمنع تحميل الصور المحسّنة ويعطّل تسليم الصور للتطبيقات التي تستخدم نقطة النهاية هذه.
عند استخدام الإعدادات الافتراضية لمجموعة القواعد، تسجّل القاعدتان الطلبات المطابقة دون حجبها. يمكن للعملاء مراجعة المطابقات في التحليلات وضبط إجراء حجب لأي من القاعدتين إذا رغبوا. تمكين هذه القواعد في وضع Log يوفر الرؤية فقط. ولا يحجب الطلبات المطابقة لهذه القواعد.
تجاوزات الإجراء وفحوصات النشر
يبرز الإصدار أهمية فحص تجاوزات الإجراء الحالية. إذا كان تجاوز إجراء على مستوى مجموعة القواعد يطبّق Block على هذه القواعد، فقد تُحجب الطلبات المطابقة بمجرد نشر القواعد، رغم إجراء Log الافتراضي لها. قد يؤدي ذلك إلى نتائج إيجابية كاذبة وحجب حركة شرعية. ينبغي للعملاء مراجعة تجاوزات مجموعة القواعد الحالية لديهم قبل النشر.
بالنسبة للفرق التي تريد تقييم القواعد دون حجب الحركة، يوصي الإصدار بضبط تجاوزات خاصة بكل قاعدة لاستخدام Log ومراجعة الطلبات المطابقة قبل التبديل إلى Block. يحافظ هذا النهج على القواعد في وضع رؤية مع السماح للفرق بتقييم المطابقات. الإصدار الطارئ جزء من سجل تغييرات Cloudflare Managed Ruleset بتاريخ 25 أكتوبر 2026.
تغطية سابقة: Imperva توضح RCE الخاص بـ Node2Shell على Node.js عبر بيانات Brotli مصممة خصيصاً
المصادر: Cloudflare · The Hacker News · Microsoft
SiTech — تطوير ويب مدعوم بالذكاء الاصطناعي
نبني مواقع سريعة وعصرية وندمج الذكاء الاصطناعي في سير عمل الشركات. لديك مشروع أو سؤال؟ يسعدنا مساعدتك.