Cloudflare додає екстрені правила WAF для Brotli CVE-2026-111497

Екстрений випуск додає два правила

Cloudflare опублікувала екстрений випуск WAF, датований 25 жовтня 2026 року, для Cloudflare Managed Ruleset. Випуск додає два правила, пов'язані з уразливістю Brotli CVE-2026-111497. Обидва правила увімкнено за замовчуванням, а їхня дія встановлена на Log. У такому стані за замовчуванням правила дають видимість відповідних запитів, щоб клієнти могли оцінити вплив перед вибором блокування.

Перше правило описано як Brotli - Request Content-Encoding - CVE:CVE-2026-111497. Його ID правила вказано як …ca706f3c. Друге правило описано як Next.js - Image Optimizer Path - CVE:CVE-2026-111497. Його ID правила вказано як …402fe5bb. Джерело описує обидва як нові виявлення. Попередня дія для кожного недоступна, а нова дія - Log.

Поведінка правил і значення за замовчуванням

Правило Brotli зіставляється з вхідними запитами, які оголошують кодування тіла запиту Brotli через Content-Encoding: br. Це включає легітимних клієнтів, які надсилають тіла запитів у кодуванні Brotli. Правило не зіставляється з Accept-Encoding: br і не впливає на налаштування стиснення відповідей Brotli у Cloudflare. Його дія за замовчуванням - Log.

Правило Next.js зіставляється із запитами до кінцевої точки оптимізації зображень Next.js /_next/image. Це включає легітимний трафік оптимізації зображень. Його дія за замовчуванням - Log, і воно не блокує запити. Випуск попереджає, що зміна дії на Block може перешкодити завантаженню оптимізованих зображень і порушити доставку зображень для застосунків, які використовують цю кінцеву точку.

Коли використовуються значення за замовчуванням набору правил, обидва правила журналюють відповідні запити, не блокуючи їх. Клієнти можуть переглядати збіги в аналітиці та за потреби налаштувати дію блокування для будь-якого правила. Увімкнення цих правил у режимі Log забезпечує лише видимість. Воно не блокує запити, що відповідають цим правилам.

Перевизначення дій і перевірки розгортання

Випуск наголошує на важливості перевірки наявних перевизначень дій. Якщо перевизначення дії на рівні набору правил застосовує Block до цих правил, відповідні запити можуть бути заблоковані одразу після розгортання правил, попри їхню дію за замовчуванням Log. Це може призвести до хибнопозитивних спрацьовувань і блокування легітимного трафіку. Клієнти мають переглянути свої наявні перевизначення набору правил перед розгортанням.

Для команд, які хочуть оцінити правила без блокування трафіку, випуск радить налаштувати перевизначення для конкретних правил на використання Log і переглянути відповідні запити перед переходом на Block. Такий підхід утримує правила в режимі видимості, дозволяючи командам оцінювати збіги. Екстрений випуск є частиною журналу змін Cloudflare Managed Ruleset за 25 жовтня 2026 року.

Попереднє висвітлення: Imperva демонструє RCE Node2Shell на Node.js через спеціально сформовані дані Brotli

Джерела: Cloudflare · The Hacker News · Microsoft