Cloudflare、CVE-2026-111497を狙う攻撃を検知する新たなWAFルールを追加

Cloudflareは2026年10月25日、Webアプリケーションファイアウォール(WAF)の緊急リリースを発表しました。今回のアップデートでは、CVE-2026-111497として追跡されているBrotliの脆弱性に対し、2つの検知ルールが導入されました。

Vulnerabilityassessment tool

これらのルールは、Brotliによるボディエンコーディングを宣言したリクエストと、Next.jsの画像最適化エンドポイントへのアクセスを対象としています。既定では両ルールともLogモードで有効になっており、一致したリクエストを自動的にブロックせず、可視化のみを行います。

新しい検知ルールはCloudflare Managed Rulesetに追加されました。ただし、一致条件には正規のトラフィックも含まれるため、ルールに一致したからといって、悪用の試みであるとは限りません。Cloudflareは、ブロックを有効にする前に、一致したリクエストを評価するよう利用者に推奨しています。

Cloudflareが新たなWAFルールを追加

1つ目のルールは、識別子の末尾が「…ca706f3c」で、ヘッダー`Content-Encoding: br`を含む受信リクエストを検知します。このヘッダーはリクエストボディがBrotliでエンコードされていることを示します。そのため、圧縮したリクエストボディを送信する正規のクライアントも、この検知に該当する可能性があります。

Cloudflareは、この条件をヘッダー`Accept-Encoding: br`を含むリクエストとは区別しており、後者はルールの対象外です。また、今回の更新によってBrotliに関するCloudflareのレスポンス圧縮設定が変わることはなく、リクエストボディの検知とレスポンス圧縮は切り離されています。

2つ目のルールは、識別子の末尾が「…402fe5bb」で、Next.jsの画像最適化に使われる/_next/imageエンドポイントへのリクエストに一致します。

このルールは、悪意のあるトラフィックだけを対象とするものではなく、正規の画像最適化リクエストも含みます。このルールのアクションをBlockに変更すると、最適化された画像を読み込めなくなり、アプリケーションでの画像配信に支障が出るおそれがあります。

ルールセットの既定設定では、両方の検知ルールが一致したリクエストを記録するだけで、ブロックはしません。利用者はアナリティクスで一致状況を確認できます。運用への影響を評価したうえで、いずれのルールもブロックに設定できます。つまり、ログ記録は可視性を提供するものであり、条件に一致したリクエストをブロックするものではありません。

リリース発表では、影響を受けるソフトウェアのバージョン、脆弱性の深刻度スコア、悪用の前提条件、実際に悪用されている証拠のいずれも示されていません。

Vulnerabilityassessment tool

さらに、想定される悪用ペイロードについての説明もありません。そのため、今回のルールに一致したリクエストがすべてこの脆弱性を狙ったものだと解釈すべきではありません。

Cloudflareは、既存のルールセットレベルのアクション上書き設定によって、即座にブロックが適用される可能性があると注意を促しています。新ルールに対して上書き設定がBlockになっている場合、既定のLogアクションにかかわらず、デプロイと同時に一致したリクエストがブロックされるおそれがあります。この場合、誤検知が発生し、正規のトラフィックが妨げられる可能性があります。

管理者は、デプロイ前に上書き設定を慎重に確認する必要があります。より慎重に展開するには、ルール単位でLogの上書き設定を適用し、一致したリクエストを調べてからBlockに切り替えることをCloudflareは推奨しています。この評価は、Brotliでエンコードされたリクエストボディを受け付けるアプリケーションや、Next.jsの最適化機能を通じて画像を配信するアプリケーションにとって、特に重要です。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに統合。