Cloudflare обяви спешна актуализация на набора от правила за своята защитна стена за уеб приложения (WAF), свързана с CVE-2026-111497 – уязвимост в Brotli.
Изданието от 25 октомври 2026 г. добавя две правила за тела на заявки, кодирани с Brotli, и за крайната точка за оптимизация на изображения в Next.js, активирани по подразбиране в режим Log, за да наблюдават съвпадащия трафик, без да го блокират.
Ключовата подробност е, че тази актуализация добавя наблюдение, а не автоматично предотвратяване. Клиентите, използващи настройките по подразбиране на набора от правила, трябва да прегледат съвпадащите заявки и да изберат дали да разрешат блокирането.
Cloudflare също така предупреждава, че съществуващи пренаписвания на действия (action overrides) могат да накарат тези нови правила да блокират легитимен трафик непосредствено след внедряването им.
Според официалното известие на Cloudflare правилото за Brotli съвпада с входящи заявки, съдържащи заглавката Content-Encoding: br. Това идентифицира заявки, деклариращи компресирано с Brotli тяло, включително нормален трафик от легитимни клиенти. Следователно съвпадението само по себе си не показва, че някой се е опитал да експлоатира уязвимостта.
Cloudflare издава актуализация на набора от правила за WAF
Правилото не съвпада с Accept-Encoding: br, което е отделно от заглавката за тялото на заявката. Cloudflare посочва още, че актуализацията не променя настройките за Brotli компресия на отговорите. Собствениците на уебсайтове не бива да възприемат това издание като цялостно изключване на Brotli компресията в техните сайтове.
Второто правило съвпада със заявки към /_next/image – крайната точка за оптимизация на изображения в Next.js. Това включва и легитимни заявки за изображения.
Превключването на действието му към Block може да спре зареждането на оптимизираните изображения и да наруши доставянето им за приложения, които зависят от тази крайна точка. Действието му по подразбиране Log оставя тези заявки неблокирани.
Cloudflare описва новите правила с идентификатори, завършващи на ca706f3c за Brotli кодиране на заявките и 402fe5bb за пътя на инструмента за оптимизиране на изображения в Next.js. И двата записа са описани като нови детекции, свързани с CVE-2026-111497.
Актуализацията следва доклади за дефект в паметта в Brotli декодера на Node.js. Cyber Security News по-рано отрази актуализациите за сигурност на Node.js, отстраняващи уязвимости в Brotli и други компоненти, определяйки CVE-2026-111497 като запис извън границите (out-of-bounds write), който може да позволи отдалечено изпълнение на код.
Засегнатите версии включват Node.js 22.x, 24.x и 26.x. Отделни доклади за експлойта Node2Shell описват демонстрирано изпълнение на код чрез специално конструирани компресирани с Brotli данни.
Тези материали посочват Node.js 22.23.4, 24.22.1 и 26.12.1 като коригирани издания. Тези актуализации отстраняват уязвимостта в средата за изпълнение, докато правилата на Cloudflare осигуряват допълнителен слой за контрол на трафика.
Най-важното предупреждение на Cloudflare при внедряване засяга пренаписванията на действия на ниво правила. Съществуващо пренаписване, което прилага Block към тези правила, може да има приоритет пред тяхната настройка по подразбиране Log. В резултат на това клиентите биха могли да блокират валидни компресирани заявки или трафик на изображения, дори когато са очаквали само наблюдение.
Cloudflare препоръчва преглед на пренаписванията преди внедряване и прилагане на специфични за правилата Log пренаписвания, когато екипите искат първо да оценят трафика. След това клиентите могат да анализират съвпаденията в аналитичните данни, преди да решат дали блокирането е подходящо.
Тъй като и двете правила съвпадат и с нормални заявки, екипите трябва да оценят въздействието върху приложението, вместо да третират всяко регистрирано събитие като потвърдена атака. Инсталирането на корекции за сигурност в средата за изпълнение остава от съществено значение наред с всички промени в конфигурацията на WAF, направени в отговор на това спешно издание.