Cloudflare ha anunciado una actualización de emergencia en su conjunto de reglas del Web Application Firewall (WAF) debido a una vulnerabilidad de Brotli identificada como CVE-2026-111497. La actualización, lanzada el 25 de octubre de 2026, introduce dos reglas específicas para el endpoint de optimización de imágenes de Next.js y los cuerpos de solicitudes codificados en Brotli, las cuales vienen activadas por defecto en modo de registro (Log mode) para monitorear el tráfico sin bloquearlo. 

Cloudflare ha anunciado una actualización de emergencia del conjunto de reglas del Firewall de Aplicaciones Web (WAF) vinculada a la CVE-2026-111497, una vulnerabilidad de Brotli.

El lanzamiento del 25 de octubre de 2026 añade dos reglas para los cuerpos de solicitud codificados con Brotli y para el punto final de optimización de imágenes de Next.js, habilitadas por defecto en modo Log para monitorear el tráfico coincidente sin bloquearlo.

El detalle clave es que esta actualización añade monitoreo, no prevención automática. Si tú eres un cliente que utiliza los valores predeterminados del conjunto de reglas, debes revisar las solicitudes coincidentes y elegir si deseas habilitar el bloqueo.

Cloudflare también advierte que las anulaciones de acción existentes podrían causar que estas nuevas reglas bloqueen tráfico legítimo inmediatamente después del despliegue.

Según el aviso de lanzamiento de Cloudflare, la regla de Brotli coincide con las solicitudes entrantes que llevan la cabecera Content-Encoding: br. Esto identifica solicitudes que declaran un cuerpo comprimido con Brotli, incluyendo el tráfico normal de clientes legítimos. Por lo tanto, una coincidencia no demuestra, por sí sola, que alguien haya intentado explotar la vulnerabilidad.

Actualización del conjunto de reglas WAF de Cloudflare

La regla no coincide con Accept-Encoding: br, que es independiente de la cabecera del cuerpo de la solicitud. Cloudflare también afirma que la actualización no cambia sus ajustes de compresión de respuesta de Brotli. Como propietario de un sitio web, debes evitar tratar este lanzamiento como un cierre general de la compresión Brotli en tus sitios.

La segunda regla coincide con las solicitudes a /_next/image, el punto final de optimización de imágenes de Next.js. Esto incluye solicitudes de imágenes legítimas.

Cambiar su acción a "Bloquear" puede impedir que se carguen las imágenes optimizadas e interrumpir la entrega de imágenes para las aplicaciones que dependen de dicho punto final. Su acción predeterminada de Log deja esas solicitudes sin bloquear.

Cloudflare enumera las nuevas reglas con identificadores que terminan en ca706f3c para la codificación de solicitudes Brotli y 402fe5bb para la ruta del optimizador de imágenes de Next.js. Ambas entradas se describen como nuevas detecciones asociadas con la CVE-2026-111497.

La actualización surge tras los informes de un fallo de memoria en el decodificador Brotli de Node.js. Cyber Security News cubrió anteriormente las actualizaciones de seguridad de Node.js que abordan Brotli y otras vulnerabilidades, identificando la CVE-2026-111497 como una escritura fuera de límites que podría permitir la ejecución remota de código.

Las líneas de lanzamiento afectadas incluyen Node.js 22.x, 24.x y 26.x. Informes independientes sobre el exploit Node2Shell describen la ejecución de código demostrada a través de datos comprimidos con Brotli especialmente diseñados.

Dicha cobertura identifica a Node.js 22.23.4, 24.22.1 y 26.12.1 como versiones corregidas. Estas actualizaciones solucionan el entorno de ejecución vulnerable, mientras que las reglas de Cloudflare proporcionan una capa adicional de control de tráfico.

La advertencia de despliegue más importante de Cloudflare se refiere a las anulaciones de acción a nivel de conjunto de reglas. Una anulación existente que aplique el Bloqueo a estas reglas puede tener prioridad sobre su configuración de Log predeterminada. Como resultado, podrías bloquear solicitudes comprimidas válidas o tráfico de imágenes incluso cuando solo esperabas monitoreo.

Cloudflare te aconseja revisar las anulaciones antes del despliegue y aplicar anulaciones de Log específicas de la regla cuando tu equipo quiera evaluar primero el tráfico. Así, puedes inspeccionar las coincidencias en las analíticas antes de decidir si el bloqueo es apropiado.

Dado que ambas reglas también coinciden con solicitudes normales, tu equipo debe evaluar el impacto en la aplicación en lugar de tratar cada evento registrado como un ataque confirmado. El parcheo del entorno de ejecución sigue siendo esencial junto con cualquier cambio de configuración del WAF realizado en respuesta a este lanzamiento de emergencia.