Na quarta-feira, 21 de outubro, a Cloudflare (abre em nova aba) publicou uma nota curta e uma tabela. Quem não acompanha o registro de mudanças (abre em nova aba) da empresa não ficou sabendo. Deveria ter ficado. O texto anunciava um lançamento de emergência no firewall de aplicações web da empresa, o WAF, com quatro regras novas para "detectar padrões anômalos de requisição".
O WAF é o porteiro que a Cloudflare põe na frente dos sites dos clientes. Cada pedido que chega passa por ele antes de alcançar o servidor, seja para abrir uma página, enviar um formulário ou acionar um sistema. As regras dizem ao porteiro o que procurar. Segundo a documentação da empresa (abre em nova aba), o conjunto gerenciado é formado por padrões de texto que reconhecem ataques conhecidos. A Cloudflare o atualiza com frequência para responder a vulnerabilidades novas.
O que entrou
Das quatro regras, duas bloqueiam o pedido suspeito. As outras duas apenas anotam que ele passou, sem barrar ninguém. Todas são detecções novas, sem versão anterior:
...c438d5ddGeneric Rules - Anomalous Execution - 1Bloquear...0a0c2f64Generic Rules - Anomalous Execution - 2Apenas registrar...545d163cGeneric Rules - Anomalous Execution - 3Bloquear...212afcc9Generic Rules - Anomalous Execution - 4Apenas registrarA palavra que pesa é "emergência". A Cloudflare tem um calendário regular de atualizações. Pela própria documentação, os lançamentos de emergência aparecem quando a empresa precisa pôr no ar detecções urgentes fora desse ritmo. Ninguém fura a própria fila por capricho. Se a empresa não esperou a próxima rodada, é porque julgou que a espera sairia mais cara.
O que ficou de fora
Contra o quê, exatamente? A nota não diz. Não cita falha, não nomeia programa afetado, não menciona número de vulnerabilidade. Os nomes das regras, "regras genéricas" e "execução anômala", informam pouco além do óbvio: alguém anda mandando pedidos que não deveriam existir. A documentação avisa que a Cloudflare não publica as assinaturas completas dessas regras no registro público.
Há método nesse silêncio. Divulgar a receita do detector seria entregar ao ladrão a planta do alarme. Só que o cliente fica na posição de quem toma um remédio sem bula. Confia no laboratório porque não tem alternativa melhor à mão.
A divisão entre bloquear e registrar também conta uma história. A documentação diz que detecções novas, em lançamentos de emergência, podem começar em qualquer um dos dois modos. Bloquear é decidir, registrar é observar. A leitura razoável é que a empresa tem convicção sobre duas das regras. As outras duas ela prefere ver trabalhando por um tempo antes de dar a elas o poder de barrar tráfego. Uma regra apressada que bloqueia demais derruba o cliente legítimo junto com o atacante.
Quem é afetado
Nos planos Free, Pro e Business, o conjunto gerenciado vem ligado por padrão para os sites que já migraram para o novo WAF. Nesses casos, as quatro regras entraram em funcionamento sem que o dono do site precisasse mexer em nada. A proteção chegou antes da notícia. Nos planos Enterprise, é o próprio cliente quem implanta o conjunto e define como ele se comporta.
Bloquear e registrar não são as únicas opções. Conforme o plano, uma regra também pode submeter o visitante a um teste antes de deixá-lo passar ou simplesmente ser ignorada. Onde o plano permite, cada regra pode ter sua ação trocada individualmente, pelo painel ou pela API.
Se, desde 21 de outubro, clientes reais passaram a ter pedidos recusados no seu site, procure nos registros do painel da Cloudflare as regras terminadas em c438d5dd e 545d163c, as duas que bloqueiam. Se forem elas, e se o seu plano permitir, dá para mudar a ação. Antes de desligar qualquer coisa, lembre-se de que a própria empresa classificou a ameaça como urgente.
Segurança terceirizada funciona assim: quando dá certo, ninguém percebe. A cada nota como esta, a Cloudflare pede um voto de confiança. O cliente precisa acreditar que a urgência era real e que a mira é precisa. Até aqui, a empresa disse o que fez e calou sobre o porquê. Para quem tem um site atrás desse porteiro, a primeira metade da resposta tranquiliza, e a segunda continua em aberto.
Fontes
- WAF Release - 2026-10-21 - Emergency · developers.cloudflare.com · 20/10/2026
- WAF Managed Rules · developers.cloudflare.com