Cloudflare cập nhật WAF khẩn cấp ứng phó lỗ hổng Brotli CVE-2026-111497

• Cập nhật khẩn cấp: Cloudflare bổ sung hai quy tắc WAF mới để giám sát lưu lượng liên quan đến lỗ hổng Brotli (CVE-2026-111497).
• Cơ chế giám sát: Các quy tắc được thiết lập mặc định ở chế độ 'Log' để tránh gián đoạn dịch vụ, yêu cầu quản trị viên kiểm tra trước khi kích hoạt chặn.
• Phạm vi ảnh hưởng: Tập trung vào các yêu cầu sử dụng mã hóa Brotli và endpoint tối ưu hóa hình ảnh của Next.js.
• Khuyến nghị: Cần ưu tiên cập nhật runtime Node.js lên các phiên bản đã vá lỗi thay vì chỉ dựa vào lớp bảo vệ WAF.

Tổng quan về lỗ hổng CVE-2026-111497 trong Node.js

Các nhà nghiên cứu bảo mật gần đây đã công bố thông tin chi tiết về một lỗ hổng nghiêm trọng trong bộ giải mã Brotli của Node.js, được định danh là CVE-2026-111497. Đây là một lỗi ghi ngoài phạm vi (out-of-bounds write) có khả năng dẫn đến thực thi mã từ xa (RCE) trên các hệ thống bị ảnh hưởng.

Lỗ hổng này đặc biệt nguy hiểm khi kẻ tấn công có thể gửi các dữ liệu nén Brotli được chế tạo đặc biệt để kích hoạt lỗi bộ nhớ trong quá trình giải mã. Các phiên bản Node.js bị ảnh hưởng bao gồm các nhánh 22.x, 24.x và 26.x. Các báo cáo kỹ thuật về khai thác Node2Shell đã chứng minh khả năng chiếm quyền điều khiển hệ thống thông qua kỹ thuật này.

Phân tích bản cập nhật WAF từ Cloudflare

Để hỗ trợ khách hàng giảm thiểu rủi ro trong khi chờ đợi quá trình vá lỗi runtime hoàn tất, Cloudflare đã triển khai hai quy tắc WAF mới. Các quy tắc này không nhằm mục đích thay thế bản vá phần mềm mà đóng vai trò như một lớp kiểm soát lưu lượng bổ sung.

Quy tắc với định danh kết thúc bằng ca706f3c tập trung vào việc kiểm tra các yêu cầu HTTP có chứa header Content-Encoding: br. Điều quan trọng cần lưu ý là quy tắc này chỉ khớp với header của body yêu cầu, không phải header Accept-Encoding, do đó nó không ảnh hưởng đến cơ chế nén phản hồi của máy chủ.

Cảnh báo về cấu hình và tác động hệ thống

Cloudflare nhấn mạnh rằng các quy tắc mới được đặt ở chế độ Log mặc định. Điều này cho phép đội ngũ vận hành SOC quan sát lưu lượng mà không gây ra hiện tượng chặn nhầm (false positive) đối với các yêu cầu hợp lệ. Tuy nhiên, nếu hệ thống của khách hàng đã thiết lập các ghi đè hành động (action overrides) ở cấp độ quy tắc, các quy tắc mới này có thể tự động chuyển sang chế độ Block.

⚠️ Cảnh báo quan trọng: Việc kích hoạt chế độ 'Block' cho quy tắc 402fe5bb có thể làm gián đoạn quá trình tải hình ảnh trên các ứng dụng sử dụng Next.js, gây ảnh hưởng trực tiếp đến trải nghiệm người dùng cuối.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Để đảm bảo an toàn, các quản trị viên hệ thống cần thực hiện quy trình kiểm tra và cập nhật theo các bước sau:

• Kiểm tra phiên bản: Xác nhận hệ thống đang chạy các phiên bản Node.js đã được vá lỗi: 22.23.4, 24.22.1 hoặc 26.12.1.
• Đánh giá WAF: Kiểm tra các quy tắc ghi đè hiện có trong bảng điều khiển Cloudflare để đảm bảo không có quy tắc nào vô tình chặn lưu lượng hợp lệ sau khi cập nhật.
• Phân tích log: Sử dụng dữ liệu từ WAF để phân tích các sự kiện được ghi lại, từ đó xác định các mẫu yêu cầu bất thường trước khi quyết định chuyển sang chế độ chặn.

Việc triển khai bản vá runtime vẫn là ưu tiên hàng đầu. Các quy tắc WAF chỉ nên được coi là biện pháp phòng thủ chiều sâu (defense-in-depth) để ngăn chặn các nỗ lực khai thác CVE-2026-111497 trong thời gian chờ đợi triển khai bản vá trên toàn bộ hạ tầng ứng dụng.