Cloudflare aggiorna il WAF: cosa cambia per Brotli e Next.js

Notizia del 25 ottobre 2026. Cloudflare ha annunciato un aggiornamento di emergenza del proprio Managed Ruleset, il gruppo di regole del Web Application Firewall (WAF) che aiuta a individuare richieste potenzialmente problematiche. L'aggiornamento introduce due regole collegate alla vulnerabilità CVE-2026-111497: una riguarda le richieste con corpo compresso tramite Brotli, l'altra il percorso utilizzato da Next.js per ottimizzare le immagini.

Il dettaglio fondamentale, da non perdere nei titoli, è che entrambe le regole hanno come azione predefinita «Log». In questa configurazione Cloudflare registra le richieste che corrispondono ai criteri, ma non le blocca automaticamente. L'annuncio serve quindi prima di tutto a dare visibilità ai gestori dei siti, non a imporre un blocco generalizzato.

Che cosa controlla la regola Brotli

La prima regola intercetta le richieste HTTP in ingresso che dichiarano Content-Encoding: br, cioè un corpo della richiesta codificato con Brotli. Anche richieste del tutto legittime possono rientrare in questa condizione.

Non bisogna confondere questa intestazione con Accept-Encoding: br, usata da un client per dichiarare che può ricevere risposte compresse. Cloudflare precisa che la nuova regola non intercetta semplicemente quell'indicazione e non modifica le normali impostazioni di compressione delle risposte del sito.

Perché viene citato Next.js

La seconda regola riguarda le richieste dirette al percorso /_next/image, utilizzato da applicazioni Next.js per la trasformazione e l'ottimizzazione delle immagini. Anche qui il comportamento predefinito è di sola registrazione.

Il rischio pratico nasce quando un gestore modifica l'azione della regola da Log a Block senza verificare quali richieste vengono intercettate: immagini che funzionavano normalmente potrebbero non caricarsi più. Questo non significa che ogni progetto Next.js sia vulnerabile o che tutte le sue immagini siano interessate da un problema; la segnalazione riguarda il comportamento specifico delle nuove regole WAF.

Attenzione alle personalizzazioni già presenti

Cloudflare segnala un'eccezione importante. Se sul proprio Managed Ruleset è già presente una personalizzazione generale che impone Block, questa potrebbe applicarsi anche alle nuove regole al momento dell'attivazione. In quel caso, nonostante i valori predefiniti dell'annuncio, alcune richieste legittime potrebbero venire bloccate.

Per questo motivo la verifica delle impostazioni esistenti è più utile di una modifica affrettata delle protezioni.

Che cosa dovrebbe controllare chi gestisce un sito

1. Identificare il Managed Ruleset attivo. Controllare se sono presenti regole personalizzate o override che modificano l'azione standard.
2. Consultare gli eventi WAF. Se le nuove regole producono corrispondenze, distinguere le richieste legittime dai casi da approfondire prima di cambiare l'azione.
3. Verificare le immagini del sito. Per i progetti Next.js è utile controllare il caricamento delle pagine che utilizzano il percorso di ottimizzazione delle immagini, soprattutto dopo eventuali modifiche alla protezione.
4. Evitare il blocco indiscriminato. Passare da Log a Block richiede una valutazione degli effetti sul proprio traffico reale: la nuova regola può corrispondere anche a richieste lecite.

Chi è interessato dalla novità

La comunicazione riguarda principalmente chi protegge applicazioni e siti tramite Cloudflare WAF. È particolarmente utile agli amministratori che hanno regole personalizzate, utilizzano richieste con corpi Brotli o gestiscono applicazioni Next.js. Per chi possiede un semplice sito e non interviene direttamente sulle impostazioni del firewall, l'informazione essenziale è che l'impostazione standard annunciata da Cloudflare registra gli eventi senza bloccare le richieste corrispondenti.

In breve: si tratta di un aggiornamento di sicurezza da conoscere e verificare, non di un motivo per modificare tutto il firewall senza analisi.

Fonte e trasparenza editoriale

Fonte primaria: Cloudflare Changelog — WAF Release, 25 ottobre 2026. L'articolo spiega in italiano l'annuncio tecnico, distinguendo i fatti dichiarati da Cloudflare dalle conseguenze pratiche possibili. Le condizioni effettive dipendono dalla configurazione di ciascun sito.

Quotidiano Digitale è un progetto editoriale di Sikelia Labs. Questo contenuto è stato redatto in forma originale a partire dalla documentazione ufficiale, senza riprodurre il testo dell'annuncio.