Cloudflare 为 Brotli 漏洞紧急上线两条 WAF 规则，默认只记录不拦截

• 发布内容：Cloudflare 以 Emergency 名义更新 Cloudflare Managed Ruleset，新增两条与 Brotli 漏洞 CVE-2026-111497 相关的检测规则，Rule ID 分别为 ...ca706f3c（Brotli - Request Content-Encoding）与 ...402fe5bb（Next.js - Image Optimizer Path）。两条均为全新检测，无对应的 legacy rule。
• 匹配范围：Brotli 规则匹配声明 Content-Encoding: br 的入站请求，包括正常提交 Brotli 压缩请求体的合法客户端；它不匹配 Accept-Encoding: br，也不影响 Cloudflare 自身的 Brotli 响应压缩设置。Next.js 规则匹配发往 /_next/image 图像优化端点的请求，同样涵盖合法的图像优化流量。
• 默认动作：两条规则默认启用且动作设为 Log，命中只记录、不阻断；客户可在分析中查看匹配请求后自行将动作改为 Block。官方明确说明，把 Next.js 规则切到 Block 可能导致优化后的图片无法加载，进而中断该端点上的图像交付。
• 需要优先核对的风险：官方单独提示检查既有的规则集级 action override——如果此前配置的覆盖项对这两条规则应用了 Block，规则一经部署就会开始拦截匹配请求，尽管其默认动作是 Log，可能产生误报并阻断正常流量。希望在评估阶段只观察的账户，应配置规则级覆盖为 Log。
• 工程含义：两条检测在设计上都会命中正常业务流量，因此默认 Log 实质是把判定权先交由使用方，而非直接给出安全结论。对大量依赖 Next.js 图像优化、或用 Brotli 压缩请求体上传的站点，部署后应先按上述 Rule ID 在安全分析中确认命中构成再决定是否阻断；已有 override 的账户尤其需要先核对，否则会在无配置变更的情况下提前进入拦截状态。

🔗 Cloudflare Changelog：Emergency WAF Release 2026-10-25