Actualización de emergencia del conjunto de reglas WAF de Cloudflare después de la vulnerabilidad de Brotli

Cloudflare ha anunciado una actualización de emergencia del conjunto de reglas de Web Application Firewall (WAF) vinculada a CVE-2026-111497, una vulnerabilidad de Brotli. La versión del 25 de octubre de 2026 agrega dos reglas para los cuerpos de solicitud codificados en Brotli y el punto final de optimización de imagen Next.js, habilitado de forma predeterminada en el modo de registro para monitorear el tráfico coincidente sin bloquearlo.

Los clientes que utilizan los valores predeterminados del conjunto de reglas deben revisar las solicitudes coincidentes y elegir si habilitan el bloqueo. Cloudflare también advierte que las anulaciones de acciones existentes podrían hacer que estas nuevas reglas bloqueen el tráfico legítimo inmediatamente después de la implementación. Según el aviso de lanzamiento de Cloudflare, la regla Brotli coincide con las solicitudes entrantes que llevan el encabezado Content-Encoding: br. Esto identifica las solicitudes que declaran un cuerpo comprimido de Brotli, incluido el tráfico normal de clientes legítimos.

Cloudflare enumera las nuevas reglas con identificadores que terminan en ca706f3c para la codificación de solicitudes Brotli y 402fe5bb para la ruta del optimizador de imágenes Next.js. Cyber Security News cubrió anteriormente las actualizaciones de seguridad de Node.js que abordan Brotli y otras vulnerabilidades, identificando CVE-2026-111497 como una escritura fuera de límites que podría permitir la ejecución remota de código.

Consultar publicación original ↗