Shelly repareert lek in beveiligingscertificaten met nieuwe firmware-update

Eigenaren van Shelly-stekkers, -relais en -sensoren moeten hun firmware bijwerken: op 26 oktober 2026 bracht Shelly nieuwe firmware uit die een lek in wereldwijd gebruikte beveiligingscertificaten dichtmaakt. Zonder die update blijft een apparaat mogelijk certificaten vertrouwen die inmiddels al zijn ingetrokken.

Welke Shelly-apparaten zijn geraakt?

Shelly noemt in zijn changelog geen specifieke modellen, maar verspreidde de fix op 26 oktober over drie firmwarelijnen: versie 2.1.1 voor Gen3- en Gen4-apparaten, 2.0.3 voor Gen2-modellen die nog in productie zijn, en 1.7.6 voor oudere Gen2-apparaten die al een directe opvolger hebben (zoals de Plus 1 en de Plus 2PM) en nog alleen kritieke reparaties krijgen. Welke versie jouw apparaat aangeboden krijgt, zie je pas in de app zelf.

Hoe update je je Shelly-apparaten?

• Open de Shelly Smart Control-app, kies het apparaat en ga naar de instellingen.
• Bekijk bij firmware de huidige en beschikbare versie, tik op bijwerken en bevestig.
• Het apparaat herstart vanzelf; bij sommige modellen moet je daarna ook de fysieke knop even indrukken.
• Zet automatisch bijwerken aan als de app dat aanbiedt, zodat je dit niet handmatig hoeft te herhalen.
• Werk eerst apparaten bij die een deur, poort of camera aansturen, en laat een apparaat dat je niet fysiek kunt bereiken met rust als je twijfelt.

Waarom is deze update nodig?

De aanleiding ligt bij eMudhra, een certificaatautoriteit die onder meer websites en software van een beveiligingscertificaat voorziet. Acht van haar tussenliggende certificaten bleken zo zwak gegenereerd dat de bijbehorende geheime sleutel uit het publiek bekende certificaat is af te leiden. Wie zo’n sleutel in handen heeft, kan zich voordoen als een willekeurige website of dienst. Chrome en Firefox blokkeerden de getroffen certificaten al op 17 oktober 2026, maar apparaten die hun eigen vertrouwenslijst in de firmware bewaren, zoals Shelly’s, moesten daarvoor apart worden bijgewerkt. Vandaar de firmware van 26 oktober.

Los van de certificaatkwestie bracht Shelly op 27 oktober ook een update van de bedienings-app uit (Shelly Smart Control 1.12.0): die herstelt een bug waardoor sommige apparaten niet meer via CarPlay bijgewerkt konden worden, en verbetert de ondersteuning voor de BLU TRV-radiatorknop.

Twijfel je welke slimme stekker of schakelaar bij jouw situatie past? Bekijk onze gids over de beste slimme stekker.