JA EN
shiichan

Brotli の脆弱性 CVE-2026-111497 に緊急対応！Cloudflare WAF に新ルール 2 つ

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security#web

みんな、しぃちゃんだよ！今日は Cloudflare WAF に緊急リリースが来たから、急いでお知らせするね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Cloudflare Managed Ruleset に緊急の WAF リリース（2026-10-25）が出たよ。Brotli の脆弱性 CVE-2026-111497 に関連するルールが 2 つ追加されたの。

追加されたのはこの 2 つだよ！

  • Brotli: request Content-Encoding header, CVE-2026-111497（ルール ID 末尾 ca706f3c）
  • Next.js: Image Optimizer path, CVE-2026-111497（ルール ID 末尾 402fe5bb）

どちらも新規ルールで、デフォルトのアクションは Log だよ。

なぜ重要なの？

CVE が公表された直後に、Cloudflare を使っているだけで検知の手がかりが得られるのが大きいところ！ただし、今回の原文には CVE 自体の詳しい説明は書かれていなくて、Brotli に関する脆弱性ということしか分からないの。だから脆弱性の中身については、公式の脆弱性情報を別途確認してね。

これで何が変わるの？

Managed Ruleset を使っているゾーンでは、該当しそうなリクエストが自動でログに残るようになるよ。

  • ブロックはされないので、いきなり正常な通信が止まる心配はない
  • アナリティクスで一致したリクエストを見て、影響を評価できる
  • 必要ならルールごとに Block へ切り替えられる

深く潜ってみよう

2 つのルールの挙動はこうなっているよ。

  • Brotli ルール: Content-Encoding: br を宣言したリクエストボディに一致する。正規のクライアントが Brotli 圧縮したボディを送ってきた場合も一致する。Accept-Encoding: br には一致せず、Cloudflare の Brotli レスポンス圧縮の設定にも影響しない
  • Next.js ルール: Next.js の画像最適化エンドポイント /_next/image へのリクエストに一致する。正規の画像最適化トラフィックも含まれる。Block にすると、最適化された画像が読み込めなくなって画像配信に支障が出る可能性がある

注意したいのは既存のオーバーライドだよ。ルールセット単位で、これらのルールに Block を適用するアクションのオーバーライドを設定している場合、デプロイされた時点で一致したリクエストがブロックされることがあるの。

安全に評価するための流れはこうだよ！

  • 既存のオーバーライドに Block が入っていないか確認する
  • 必要ならルール単位のオーバーライドで Log にしておく
  • アナリティクスで一致内容を確認する
  • 問題がなければ Block に切り替える

まとめ

  • Cloudflare Managed Ruleset に、CVE-2026-111497（Brotli）関連の緊急ルールが 2 つ追加された
  • Brotli ルールは Content-Encoding: br のリクエストボディ、Next.js ルールは /_next/image が対象
  • どちらもデフォルトは Log で、ブロックはしない
  • ルールセット単位の Block オーバーライドがあると、すぐブロックされる可能性があるので要確認

Cloudflare WAF を運用している人、特に Next.js の画像最適化を使っているサイトの人は、今すぐ設定をチェックしてみてね！

関連記事