Cloudflareは、Cloudflare Managed Rulesetの緊急アップデートを発表しました。CVE-2026-111497として追跡されているBrotliの脆弱性に対応するため、Webアプリケーションファイアウォール（WAF）ルールを2件追加しました。
2026年10月25日に公開されたこのリリースは、Brotli形式のリクエストボディエンコーディングを宣言するリクエストと、Next.jsの画像最適化エンドポイントに到達するトラフィックを対象としています。どちらの検知もデフォルトで有効ですが、当初はリクエストをブロックせず、Logアクションで記録するだけの設定です。
自社の影響範囲を評価する組織にとって、この違いは重要です。デフォルト設定のままルールを適用しても得られるのは可視性であり、攻撃の防止ではありません。
Cloudflareによると、顧客はブロックを適用するかどうかを決める前に、アナリティクスで一致したリクエストを確認できます。そのため管理者は、緊急ルールが展開されたというだけで、危険な可能性のあるトラフィックが止まっていると判断すべきではありません。
1つ目のルールは、HTTPヘッダーContent-Encoding: brを含む受信リクエストを識別します。このヘッダーは、リクエストボディがBrotliでエンコードされていることを示します。
対象にはBrotli圧縮したリクエストボディを送信する正当なクライアントも含まれます。つまり、ルールに一致したからといって、それだけで悪意ある活動とは断定できません。
Cloudflareはこの検知を「Brotli – Request Content-Encoding – CVE:CVE-2026-111497」という説明で掲載しており、ルールIDの末尾はca706f3cです。
Cloudflareは、この挙動とレスポンス圧縮を明確に区別しています。このルールはAccept-Encoding: brには一致せず、CloudflareのBrotliレスポンス圧縮設定も変更しません。
これにより、Brotliに関わるすべての接続を広く対象とするのではなく、アドバイザリで説明されたリクエストの特性に検知を絞り込んでいます。
2つ目のルールは、Next.jsの画像最適化エンドポイントである/_next/image宛てのリクエストに一致します。「Next.js – Image Optimizer Path – CVE:CVE-2026-111497」として掲載されており、ルールIDの末尾は402fe5bbです。
Brotliのルールと同様に、一致対象には正当なトラフィックも含まれ、デフォルトでは強制的なブロックではなくログ記録にとどまります。このルールをBlockに切り替えると、最適化された画像が読み込まれなくなる可能性があります。
このエンドポイントに依存するアプリケーションでは、ブロックされたリクエストが正当なものであっても、画像配信に支障が出るおそれがあります。今回のリリースが示しているのは広範なリクエストの特徴であり、記録された一致がすべて悪用の試みであることを保証するものではありません。
導入時に最も注意すべき点は、既存のルールセットレベルのアクション上書き設定です。
これらのルールにBlockを適用する上書きを設定済みの顧客では、新ルールのデフォルトがLogであっても、展開直後から一致したリクエストのブロックが始まる可能性があります。
Cloudflareは、これが誤検知を招き、正当なトラフィックを妨げるおそれがあると警告しています。管理者は展開前に、こうした上書き設定を見直す必要があります。
まず観測から始める場合、Cloudflareはルール個別の上書きをLogに設定し、一致結果を確認したうえで、はじめてBlockへの移行を検討するよう推奨しています。
変更履歴（チェンジログ）はBrotliのCVEを挙げていますが、脆弱性の根本原因、影響を受けるNode.jsのバージョン、修正版、悪用の前提条件、深刻度スコアは示していません。悪用が確認されたとの報告もありません。
したがって今回の発表が説明しているのは、緊急WAF検知の提供状況と挙動にとどまり、根本にある脆弱性の技術的な全容を明らかにするものではありません。
運用面での当面のメッセージは明快です。ブロックを有効にする前に、実際に適用されるルールのアクションを確認し、一致したトラフィックを調べ、正当なアプリケーションの挙動も考慮に入れる必要があります。
ANY.RUNを導入する16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしましょう。チームで試す
翻訳元: https://cyberpress.org/cloudflare-waf-rules-node-js-brotli/
