Pada 25 Oktober 2026, Cloudflare mengumumkan rilis darurat WAF yang akan menambahkan dua rule terkait kerentanan Brotli CVE-2026-111497 ke Cloudflare Managed Ruleset. Changelog memakai future tense: Cloudflare akan menambahkan rule, bukan klaim bahwa setiap akun sudah memblokir serangan. Dokumentasi resmi menegaskan kedua rule akan enabled by default dengan action Log. Request yang cocok hanya tercatat, tanpa otomatis ditolak.
Bagi pengelola situs di belakang proxy Cloudflare, pertanyaan operasionalnya bukan hanya “ada CVE baru”. Anda perlu tahu apakah edge sudah memblokir trafik, apakah yang terlihat hanya visibilitas, dan apakah override lama mengubah perilaku default. Artikel ini merangkum dua deteksi itu, batas WAF, serta langkah evaluasi defensif tanpa menggantikan patch di origin.
- Dua rule baru menargetkan
Content-Encoding: brpada request body dan path/_next/image, bukan headerAccept-Encoding: br. - Default action adalah Log: visibilitas kecocokan, bukan mitigasi blokir otomatis.
- Ruleset-level override yang memaksa Block dapat memblokir trafik sah saat rule terpasang.
- Cloudflare Managed Ruleset berbeda dari Free Managed Ruleset, jadi cek paket akun Anda.
- WAF tidak menggantikan pembaruan Brotli, Node.js, atau library decoder di server aplikasi.
Cloudflare WAF CVE-2026-111497: Dua Rule yang Diumumkan
Rule pertama, berlabel Brotli Request Content-Encoding, mencocokkan request masuk yang mendeklarasikan body terkompresi Brotli lewat header Content-Encoding: br. Pola itu dapat muncul pada klien sah yang benar-benar mengirim request body terkompresi Brotli. Rule ini tidak mencocokkan Accept-Encoding: br, yang hanya menyatakan preferensi respons, dan tidak mengubah pengaturan kompresi respons Brotli milik Cloudflare.
Rule kedua mencocokkan request ke endpoint optimasi gambar Next.js pada path /_next/image. Aplikasi Next.js normal memakai endpoint itu untuk melayani gambar teroptimasi, jadi kecocokan rule bukan bukti serangan. Cloudflare menegaskan default action keduanya adalah Log. Bila Anda mengubah action menjadi Block tanpa observasi, gambar teroptimasi mungkin tidak termuat.
Arti Mode Log dan Batas Visibility WAF
Dalam konteks managed rules, action Log berarti Cloudflare mencatat kecocokan rule agar Anda bisa meninjau Security Events atau analytics. Mode ini membantu evaluasi sebelum memilih Block, terutama pada pola yang juga mengenai trafik legitimate. Log tidak menutup celah decoder di origin. Bila runtime atau library Anda masih rentan, request yang tidak lewat edge atau tidak cocok rule tetap berisiko.
Organisasi yang hanya membaca headline “Cloudflare merespons CVE” bisa salah mengira edge sudah memblokir exploit. Interpretasi aman: Cloudflare menyiapkan deteksi dan visibility default, lalu menyerahkan keputusan blocking kepada konfigurasi akun setelah review kecocokan.
Override Ruleset Cloudflare WAF untuk CVE-2026-111497
Changelog darurat menekankan risiko ruleset-level action override. Jika akun Anda pernah memaksa action Block pada Cloudflare Managed Ruleset, edge mungkin memblokir rule baru CVE-2026-111497 meski default publikasinya Log. Akibatnya, request body Brotli sah atau traffic /_next/image normal dapat terhenti tanpa Anda sengaja mengubah rule spesifik CVE.
Sebelum deployment efektif di produksi, buka dashboard WAF. Cari kedua rule terkait CVE-2026-111497, lalu periksa effective action serta override tag atau ruleset. Panduan konfigurasi lebih luas ada di artikel panduan konfigurasi Cloudflare WAF. Evaluasi anomali trafik bisa Anda silangkan dengan cara menyaring traffic bot di GA4 dan Cloudflare bila spike kecocokan perlu dibedakan dari bot.
Hubungan CVE dengan Brotli dan Node.js
CVE-2026-111497 berkaitan dengan decoder Brotli. Rilis keamanan Node.js 21 Oktober 2026 memuat perbaikan untuk versi yang terdampak, termasuk lini Node 22.23.4, 24.22.1, dan 26.12.1. Upstream Brotli v1.2.1 juga membawa perbaikan terkait CVE ini.
Dampak korupsi memori hingga potensi eksekusi kode remote code execution bergantung stack yang benar-benar mem-decode Brotli dari input tidak tepercaya. Situs statis tanpa jalur decoding tersebut tidak otomatis terkena skenario yang sama. Rekam CVE di CVE.org saat pengecekan blueprint masih berstatus RESERVED, sehingga detail publik resmi dapat menyusul. Jangan generalisasi ke semua website hanya karena nama CVE muncul di changelog WAF.
Checklist Evaluasi Defensif Singkat
Pastikan Cloudflare Managed Ruleset tersedia pada paket Pro, Business, atau Enterprise dan benar-benar deployed. Free tier memakai Free Managed Ruleset yang berbeda. Setelah rule terlihat di dashboard, bandingkan action efektif dengan default Log. Audit override global, lalu pantau kecocokan beberapa hari sebelum mempertimbangkan Block.
Patch dependency yang Anda pakai: Node.js, library Brotli, atau runtime lain sesuai advisory vendor. Uji Block pada staging atau scope sempit bila organisasi memutuskan blocking. WAF di sini berperan sebagai lapisan deteksi dan compensating control, bukan pengganti patch. Visibility membantu, namun keputusan blocking dan pembaruan origin tetap di tangan tim Anda.
