緊急規則針對 Brotli 與 Next.js 流量
Cloudflare 於 2026 年 10 月 25 日宣佈緊急更新 Managed Ruleset，新增兩項與 CVE-2026-111497 相關的網頁應用程式防火牆規則；該漏洞存在於 Node.js Brotli 解碼器中。其中一項規則會識別使用「`Content-Encoding: br`」標頭的請求，該標頭宣告請求主體採用 Brotli 壓縮。另一項規則則針對傳送至 Next.js 圖片最佳化端點的請求：`/_next/image`。
此次更新旨在提供可能與該漏洞有關的流量可視性。在查閱的公告中，Cloudflare 未回報已確認的漏洞利用情形，而該次發布也未提供受影響的 Node.js 版本、修正版、利用前提、根因說明或嚴重性評分。
預設為記錄，而非封鎖
在 Log 模式中，兩項新規則預設均為啟用狀態，也就是說，它們會記錄符合條件的請求，而不會中止這些請求。管理員可以先透過 Cloudflare 分析功能檢視符合條件的流量，再決定是否將任一規則移至 Block 模式。
這項區別很重要，因為 Cloudflare 表示這些規則也可能匹配合法流量。Brotli 規則涵蓋任何宣告使用 Brotli 請求本文編碼的請求，而 Next.js 規則則適用於圖片最佳化端點。對後者啟用封鎖可能會中斷圖片傳輸，包括來自合法應用程式的請求。
現有的覆寫設定可能會改變強制執行方式
Cloudflare 警告客戶應檢視現有規則集層級的動作覆寫設定。已經將這些規則覆寫為 Block 的組織，可能會在緊急更新後開始拒絕符合條件的請求，即使 Log 才是新規則的預設動作。
若採取先觀察的做法，Cloudflare 建議針對個別規則套用 Log 覆寫設定，檢視符合條件的流量後，再考慮變更為 Block。Brotli 規則不會匹配「`Accept-Encoding: br`」回應壓縮標頭，也不會變更 Cloudflare 的 Brotli 回應壓縮設定。
分享這篇文章
