Cloudflare, Brotli CVE-2026-111497 için acil WAF kuralları ekledi

Acil Sürüm İki Kural Ekliyor

Cloudflare, Cloudflare Managed Ruleset için 25 Ekim 2026 tarihli acil bir WAF sürümü yayımladı. Sürüm, Brotli güvenlik açığı CVE-2026-111497 ile ilgili iki kural ekliyor. Her iki kural da varsayılan olarak etkindir ve eylemleri Log olarak ayarlanmıştır. Bu varsayılan durumda kurallar, eşleşen istekler için görünürlük sağlar; böylece müşteriler onları engellemeyi seçmeden önce etkiyi değerlendirebilir.

İlk kural Brotli - Request Content-Encoding - CVE:CVE-2026-111497 olarak tanımlanıyor. Kural kimliği …ca706f3c olarak listeleniyor. İkinci kural Next.js - Image Optimizer Path - CVE:CVE-2026-111497 olarak tanımlanıyor. Kural kimliği …402fe5bb olarak listeleniyor. Kaynak, her ikisini de yeni algılamalar olarak tanımlıyor. Her biri için önceki eylem mevcut değil ve yeni eylem Log.

Kural Davranışı ve Varsayılanlar

Brotli kuralı, Content-Encoding: br üzerinden Brotli istek gövdesi kodlaması bildiren gelen isteklerle eşleşir. Buna Brotli ile kodlanmış istek gövdeleri gönderen meşru istemciler de dahildir. Kural, Accept-Encoding: br ile eşleşmez ve Cloudflare'in Brotli yanıt sıkıştırma ayarlarını etkilemez. Varsayılan eylemi Log'dur.

Next.js kuralı, Next.js görüntü optimizasyon uç noktası /_next/image adresine yapılan isteklerle eşleşir. Buna meşru görüntü optimizasyon trafiği de dahildir. Varsayılan eylemi Log'dur ve istekleri engellemez. Sürüm, eylemi Block olarak değiştirmenin optimize edilmiş görüntülerin yüklenmesini engelleyebileceği ve bu uç noktayı kullanan uygulamalar için görüntü teslimatını bozabileceği konusunda uyarıyor.

Ruleset varsayılanları kullanıldığında, her iki kural da eşleşen istekleri engellemeden kaydeder. Müşteriler analizlerde eşleşmeleri inceleyebilir ve isterlerse herhangi bir kural için engelleme eylemi yapılandırabilir. Bu kuralları Log modunda etkinleştirmek yalnızca görünürlük sağlar. Bu kurallarla eşleşen istekleri engellemez.

Eylem Geçersiz Kılmaları ve Dağıtım Kontrolleri

Sürüm, mevcut eylem geçersiz kılmalarını kontrol etmenin önemini vurguluyor. Ruleset düzeyinde bir eylem geçersiz kılması bu kurallara Block uygularsa, varsayılan Log eylemlerine rağmen kurallar dağıtılır dağıtılmaz eşleşen istekler engellenebilir. Bu, yanlış pozitiflere yol açabilir ve meşru trafiği engelleyebilir. Müşteriler dağıtımdan önce mevcut ruleset geçersiz kılmalarını incelemelidir.

Trafiği engellemeden kuralları değerlendirmek isteyen ekipler için sürüm, kurala özel geçersiz kılmaları Log kullanacak şekilde yapılandırmayı ve Block'a geçmeden önce eşleşen istekleri incelemeyi öneriyor. Bu yaklaşım, kuralları bir görünürlük modunda tutarken ekiplerin eşleşmeleri değerlendirmesine olanak tanır. Acil sürüm, 25 Ekim 2026 için Cloudflare Managed Ruleset değişiklik günlüğünün bir parçasıdır.

Önceki haber: Imperva, Node.js üzerinde Node2Shell RCE'yi özel hazırlanmış Brotli verileriyle gösteriyor

Kaynaklar: Cloudflare · The Hacker News · Microsoft