Cloudflare добавила в свой WAF два правила для CVE-2026-111497.[1] В штатной настройке они записывают совпадения в журнал, но пропускают запросы дальше.[1]
Одна проверка срабатывает, если запрос содержит Content-Encoding: br.[1] Другая отслеживает обращения к оптимизатору изображений Next.js по адресу /_next/image.[1] Оба условия могут совпасть и с обычным трафиком: Cloudflare отдельно предупреждает о легитимных запросах в обоих случаях.[1] Поэтому запись в журнале сама по себе не означает, что система обнаружила атаку.[1]
Риск связан с ошибкой в декодере Brotli.[4] По данным NVD, специально сформированный поток может повредить память, вызвать отказ в обслуживании или привести к выполнению кода.[4] В релизе Node.js 24.22.1, вышедшем 21 октября, разработчики отдельно указали исправление CVE-2026-111497.[2][3]
Перед включением правил Cloudflare советует проверить ручные переопределения действий WAF.[1] Если для правил уже настроен Block, совпавшие запросы могут блокироваться сразу, хотя для самих правил по умолчанию задан режим Log.[1]
Фильтр WAF помогает отслеживать трафик, но не заменяет обновление уязвимой библиотеки.
