Cloudflare WAF เพิ่มกฎฉุกเฉิน CVE-2026-111497: ค่าเริ่มต้นเป็น Log ต้องตรวจ Override ก่อนใช้ Block

Cloudflare ประกาศ WAF Emergency Release เมื่อ 25 ตุลาคม 2026 เพื่อเพิ่มกฎที่เกี่ยวข้องกับ CVE-2026-111497 สองรายการใน Cloudflare Managed Ruleset ประเด็นที่ผู้ดูแลต้องอ่านให้ชัดคือทั้งคู่ตั้งค่าเริ่มต้นเป็น Log จึงมีหน้าที่ให้เห็นคำขอที่ตรงเงื่อนไขก่อนตัดสินใจบล็อก ไม่ใช่หลักฐานว่าทราฟฟิกเสี่ยงถูกหยุดแล้วทันทีที่กฎเปิดใช้งาน

กฎตรวจอะไร และอะไรที่ไม่ได้หมายถึงการโจมตี

กฎแรกตรวจคำขอที่ระบุ Content-Encoding: br ซึ่งหมายถึง body ของ request ใช้ Brotli การมี header นี้อาจมาจากไคลเอนต์ปกติได้ ส่วนกฎที่สองตรวจเส้นทาง /_next/image ของ Next.js ซึ่งมีการใช้งานจริงสำหรับปรับภาพ ทั้งสองอย่างเป็นสัญญาณสำหรับประเมินทราฟฟิก ไม่ควรนับจำนวนที่ match เป็นจำนวนครั้งที่โจมตีสำเร็จ

ต้องแยก Content-Encoding ของ request ออกจาก Accept-Encoding ที่ไคลเอนต์แจ้งว่าสามารถรับ response แบบใดได้ ประกาศระบุว่ากฎ Brotli ไม่ได้ตรวจ Accept-Encoding: br และไม่ใช่การเปลี่ยนค่าบีบอัด response ของ Cloudflare การปิด compression ฝั่ง response จึงไม่ใช่การดำเนินการเดียวกับการจัดการ request ที่กฎนี้ตรวจ

ค่าเริ่มต้น Log อาจถูก Override ทับอยู่แล้ว

Cloudflare เตือนว่าการตั้ง action override ระดับ ruleset เป็น Block อาจทำให้คำขอถูกบล็อกทันทีเมื่อกฎใหม่ถูกนำไปใช้ แม้ค่าเริ่มต้นของตัวกฎจะเป็น Log ผู้ดูแลที่เคยตั้งนโยบายรวมจึงต้องตรวจค่าที่มีผลจริง ไม่ควรดูเพียงตารางค่าเริ่มต้นของประกาศ

สำหรับเว็บ Next.js การบล็อก /_next/image อาจทำให้ภาพที่ผ่าน image optimizer โหลดไม่ได้ หน้าข้อความอาจยังเปิดได้ตามปกติจนการตรวจ uptime มองว่าระบบแข็งแรง แต่ประสบการณ์ของผู้ใช้เสียหายแล้ว จึงควรตรวจทั้งหน้าเว็บ ภาพ และพฤติกรรมบนอุปกรณ์ที่ใช้งานจริง โดยเฉพาะหน้าร้านหรือหน้าที่อาศัยภาพเป็นข้อมูลหลัก

วิธีประเมินก่อนเปลี่ยน Action

เริ่มจากตรวจว่าโซนใช้ Managed Ruleset และ override ใดอยู่ บันทึกค่าปัจจุบันเพื่อย้อนกลับได้ หากต้องการเฝ้าดูก่อน ควรกำหนด override รายกฎเป็น Log ตามแนวทางในประกาศ จากนั้นดูรายการที่ match เทียบกับ access log และลักษณะไคลเอนต์ของระบบ เช่น SDK แอปมือถือ หรือบริการภายในที่อาจส่ง request body แบบบีบอัด

การตัดสินใจบล็อกควรอยู่บนข้อมูลการใช้งานจริงของแต่ละเว็บ หากยังแยกทราฟฟิกปกติไม่ได้ อย่าใช้เพียงจำนวน event ที่เพิ่มขึ้นเป็นเหตุให้ปิดเส้นทางทั้งชุด ควรกำหนดผู้ติดตามผล ระยะเวลาประเมิน และเงื่อนไขย้อนค่าที่ชัดเจน พร้อมตรวจว่าบริการต้นทางได้รับแพตช์ตามประกาศของผู้พัฒนาที่เกี่ยวข้องแล้วหรือยัง

WAF เป็นส่วนหนึ่งของการรับมือ ไม่แทนการตรวจต้นทาง

ข่าวนี้ยืนยันการเพิ่มกฎและพฤติกรรมการจับคำขอ ไม่ได้ยืนยันว่าแอปทุกตัวที่ใช้ Brotli หรือ Next.js มีช่องโหว่ หรือว่าทุก event เป็น exploit ทีมควรแยกรายการทรัพย์สิน เวอร์ชันซอฟต์แวร์ และการตั้งค่า WAF ออกจากกัน การแก้ปัญหาที่ต้นทางกับการลดความเสี่ยงที่ขอบเครือข่ายมีหน้าที่ต่างกันและต้องตรวจผลทั้งสองด้าน

หลังปรับ action ให้เฝ้าดูอัตราภาพโหลดล้มเหลว HTTP error และคำร้องเรียนจากผู้ใช้ควบคู่กับ security events หากจำเป็นต้องย้อนค่า ควรเก็บเหตุผลและตัวอย่างทราฟฟิกไว้สำหรับปรับนโยบายต่อ การทำให้หน้าเว็บกลับมาใช้งานได้โดยไม่มีข้อมูลประกอบจะทำให้ทีมประเมินความเสี่ยงในรอบถัดไปได้ยาก

แหล่งต้นทาง: Cloudflare Emergency WAF Release ประกาศวันที่ 25 ตุลาคม 2026