Actualidad tecnológica · Revisión: 25 de octubre de 2026
Cloudflare ha publicado hoy, 25 de octubre, una actualización de emergencia de su cortafuegos para aplicaciones web relacionada con CVE-2026-111497, un problema de Brotli. La diferencia que conviene entender antes de tocar una web es muy concreta: las reglas llegan activadas para registrar coincidencias. Eso no equivale a bloquear ataques ni a corregir el software vulnerable. La novedad ofrece visibilidad, pero exige revisar cómo está configurada cada cuenta.
Qué ha anunciado hoy Cloudflare
El aviso incorpora dos detecciones al conjunto Cloudflare Managed Ruleset. Una observa solicitudes que declaran un cuerpo comprimido con Brotli. La otra identifica la ruta utilizada por el optimizador de imágenes de Next.js. Con la configuración predeterminada, ambas generan registros. El anuncio no permite afirmar que todo sitio conectado a Cloudflare haya quedado automáticamente protegido contra cualquier explotación de la vulnerabilidad.
Hay una razón práctica para empezar observando. Las características que una regla detecta también pueden aparecer en peticiones legítimas. Una aplicación puede recibir contenido comprimido sin que exista un ataque, y una imagen optimizada puede solicitarse por el mismo punto de entrada que se quiere vigilar. Si se decide bloquear indiscriminadamente esas coincidencias, la disponibilidad del servicio puede verse afectada.
Un WAF no es una actualización de la aplicación
El WAF inspecciona tráfico antes de que llegue a una aplicación, de acuerdo con las reglas y acciones configuradas. Es una capa útil para reconocer patrones, limitar exposición o ganar tiempo durante una emergencia. Sin embargo, el código que descomprime información o procesa una petición sigue funcionando en el servidor. Registrar o filtrar solicitudes no cambia ese código.
Para entenderlo, pensemos en un edificio. Un control de entrada puede detectar paquetes que requieren revisión, pero no repara una máquina defectuosa del interior. En una web sucede algo equivalente: el filtrado y la corrección del componente son actuaciones distintas. Un registro de seguridad aporta información; una actualización del componente cambia el comportamiento que originó el fallo.
Content-Encoding y Accept-Encoding no significan lo mismo
La regla sobre Brotli se fija en Content-Encoding: br. Esa cabecera describe cómo viene codificado el cuerpo de la solicitud. No debe confundirse con Accept-Encoding: br, que indica que el cliente puede recibir una respuesta comprimida de esa manera. La distinción evita interpretar cada navegador compatible con Brotli como una amenaza.
Un ejemplo sencillo ayuda. Si el navegador pide una página y comunica que acepta respuestas comprimidas, está negociando una forma habitual de transportar contenido. Si un cliente envía datos cuyo cuerpo está comprimido, el servidor necesita interpretarlos antes de utilizarlos. Aunque ambos mensajes puedan incluir las letras br, no representan la misma operación ni el mismo recorrido de los datos.
Por eso no resulta razonable convertir este aviso en una recomendación general de desactivar toda compresión. La medida adecuada depende del componente afectado, de cómo procesa cuerpos de solicitudes y del tráfico real de la aplicación. Cambiar opciones de entrega de páginas sin comprobar esa relación puede reducir eficiencia y no resolver el problema que se pretende evitar.
Por qué Next.js aparece en el aviso
Cloudflare incluye una detección para /_next/image, un punto de entrada del sistema de optimización de imágenes de Next.js. Su presencia en los registros no demuestra por sí sola un intento de explotación. Puede corresponder al funcionamiento normal de una tienda, una publicación o cualquier aplicación que utilice esa función.
La consecuencia más visible de un bloqueo excesivo puede ser una página que abre pero muestra huecos donde deberían aparecer fotografías. El texto y los menús podrían seguir funcionando, lo que hace que el problema parezca una imagen mal subida. Antes de modificar archivos, conviene comprobar si las solicitudes de imágenes están recibiendo respuestas de bloqueo en la capa de seguridad.
Ese ejemplo tampoco convierte a todas las webs con Next.js en instalaciones comprometidas. El aviso describe una regla de detección amplia. Para evaluar exposición real hay que identificar versiones, dependencias, rutas y configuración; para investigar un incidente hacen falta evidencias adicionales. Una coincidencia ayuda a formular preguntas, no sustituye a la investigación.
La excepción que puede cambiar el comportamiento
El anuncio advierte sobre las acciones que una cuenta haya sobrescrito previamente. Aunque una regla nueva se publique con Log, una configuración aplicada al conjunto completo puede imponer Block. Por tanto, el comportamiento efectivo no siempre coincide con el que se ve al leer únicamente la descripción predeterminada.
Es una diferencia habitual entre valores de fábrica y configuración efectiva. Un administrador puede haber decidido tiempo atrás que todas las reglas de determinado conjunto bloqueen. Esa decisión quizá era adecuada para las detecciones existentes, pero una incorporación nueva y más amplia cambia el alcance de la política. Revisar esas herencias evita sorpresas cuando se despliega una actualización de emergencia.
Cómo revisar una web sin confundir señales
Una revisión útil comienza por identificar quién administra realmente la aplicación. En un alojamiento gestionado, el proveedor puede encargarse de actualizar los componentes. En un servidor propio, la responsabilidad puede repartirse entre infraestructura y desarrollo. Antes de aplicar cambios conviene saber qué producto utiliza Brotli y qué parte del recorrido atraviesa Cloudflare.
Después hay que separar tres preguntas: si se ve tráfico que coincide con las reglas, si ese tráfico se bloquea y si el software afectado está actualizado. Son comprobaciones relacionadas, pero ninguna responde automáticamente a las otras dos. Una web sin coincidencias durante una hora no queda certificada como segura; una coincidencia tampoco prueba que alguien haya ejecutado código en ella.
En un comercio o una publicación con muchas imágenes también es útil probar los recorridos importantes después de cualquier ajuste. Abrir la portada no basta: hay que comprobar una ficha, una búsqueda, una imagen optimizada y el envío de datos cuando esas funciones formen parte de la aplicación. La finalidad es mantener seguridad y servicio con evidencias concretas.
Qué deben entender los visitantes
Para quien solo visita una página no hay una extensión del navegador que deba instalarse por este anuncio. El trabajo principal corresponde a quienes mantienen los servicios y sus proveedores. Si una web empieza a mostrar imágenes vacías, el síntoma merece comunicarse al responsable, pero no conviene atribuirlo directamente a este fallo sin revisar las respuestas del servidor.
Tampoco es correcto asegurar que ver un aviso de Cloudflare significa que el dispositivo del visitante está infectado. Las capas de protección pueden intervenir por muchas razones. Esta noticia trata de cómo se detectan determinadas solicitudes en servicios web, y su alcance depende del software y la configuración que hay detrás.
Contexto: detectar antes de bloquear
En una emergencia puede resultar tentador activar la medida más contundente de inmediato. Sin embargo, una regla que reconoce un mecanismo legítimo tiene un coste potencial de falsos positivos. La observación permite conocer el volumen, las rutas y los clientes afectados antes de decidir una acción que cambie la disponibilidad.
Eso no debe interpretarse como permiso para aplazar indefinidamente una corrección. La observación del tráfico y la actualización del componente deben evaluarse en paralelo. Si la exposición exige una mitigación inmediata, la decisión debe apoyarse en el aviso técnico y en las necesidades del servicio, con un procedimiento de comprobación y vuelta atrás.
Lo que sigue pendiente
El aviso de hoy concreta el comportamiento de las nuevas reglas, pero no convierte este artículo en un inventario de todos los productos afectados por CVE-2026-111497. Cada integración de una biblioteca puede tener condiciones distintas. Los responsables deben consultar también la comunicación de su proveedor para determinar versiones corregidas y medidas compatibles con su entorno.
La lectura práctica es precisa: Cloudflare añade herramientas para observar tráfico relacionado con el problema, mientras que el bloqueo depende de las acciones efectivas de la cuenta y la reparación depende del software afectado. Mantener separadas esas tres capas evita tanto una falsa sensación de protección como cambios que terminen rompiendo una web sin resolver su exposición.
Fuentes y comprobación
Texto original. Los hechos del anuncio se distinguen del contexto y la interpretación editorial. Ilustración conceptual propia generada con IA; no es una fotografía del suceso.