Cloudflare : une panne de 25 minutes touche 28 % du trafic HTTP après un correctif de sécurité

2025-12-05 · Éditeur : Cloudflare · Domaine : Cloud & DevOps

Le 5 décembre 2025, une mise à jour de configuration visant à protéger les clients de la faille React (CVE-2025-55182) fait tomber l'ancien proxy FL1 : 25 minutes d'erreurs 500 sur environ 28 % du trafic HTTP.

### Ce qui change Le 5 décembre 2025, de 08 h 47 à 09 h 12 UTC (**25 minutes**), **Cloudflare** renvoie des erreurs HTTP 500 sur environ **28 % de son trafic HTTP**. Son post-mortem décrit une chaîne de changements de configuration. Premier changement : la taille de tampon d'analyse des corps de requêtes passe de 128 Ko à 1 Mo, pour protéger les clients de la faille **CVE-2025-55182** (React Server Components). Second changement : un outil interne de test du pare-feu applicatif, incompatible avec cette taille, est désactivé par le système de configuration globale. ### Caractéristiques - Seuls les clients servis par l'ancien proxy **FL1** avec le jeu de règles managé de Cloudflare ont été touchés. - La désactivation de l'outil de test a déclenché une exception Lua dans le module de règles de FL1 : le code traitait une action « execute » qui n'existait plus et lisait une valeur nil (« attempt to index field 'execute' (a nil value) », soit « tentative d'indexation du champ 'execute' (valeur nil) »). - Le changement a été annulé à 09 h 11 UTC ; la propagation s'est achevée à 09 h 12 UTC et tout le trafic a été rétabli. - Il s'agit du second incident d'envergure de Cloudflare en moins de trois semaines, après celui du 18 novembre. ### Pourquoi c'est important L'incident montre le risque d'un correctif de sécurité urgent : la rapidité de déploiement s'oppose à la prudence progressive. Il rappelle aussi qu'une plateforme qui migre d'un ancien proxy vers un nouveau fait coexister deux comportements, avec des angles morts. Pour les DSI, c'est un argument pour exiger des fournisseurs de périphérie des déploiements par paliers y compris pour les changements de sécurité d'urgence. ### À retenir Un correctif de sécurité déployé vite a causé 25 minutes de panne : l'urgence ne dispense pas du déploiement progressif.

Tags : Incident, Edge, Sécurité, Cloud