De nieuwe Shelly firmware update bestaat grotendeels uit onderhoud dat je nooit ziet, maar het onderdeel dat wordt aangepast bepaalt wie je apparaat vertrouwt. Een Shelly werkt daarin als een portier met een vaste gastenlijst: wie op de lijst staat komt binnen, en dat geldt ook voor de beveiligde verbindingen die het apparaat zelf opzet.
Op 26 oktober publiceerde Shelly firmware 2.1.1, 2.0.3 en 1.7.6. In alle drie staat dezelfde regel in het changelog: de CA-bundels zijn bijgewerkt en de gecompromitteerde eMudhra-roots zijn verwijderd. Meer toelichting geeft Shelly niet. De achtergrond is wel te achterhalen, en die verklaart waarom een module achter je schakelaar hier iets mee moet terwijl je browser het al dagen geleden heeft geregeld.
Wat er misging bij eMudhra
eMudhra is een certificaatautoriteit uit India, een van de partijen die digitale paspoorten voor websites en software uitgeeft. Op 17 oktober meldde een onderzoeker dat de privésleutels van acht tussencertificaten van dat bedrijf zwak waren: zes voor websites (TLS) en twee voor het ondertekenen van software. Mozilla en Chrome bevestigden het probleem op 20 oktober.
Sleutels die iedereen kon narekenen
De sleutels waren niet gestolen. Ze zijn in april 2025, tijdens het aanmaken, met te weinig willekeur gemaakt, waardoor ze uit de openbare certificaten zijn terug te rekenen. Volgens eMudhra veroorzaakte een fout in het script van die dag een tweede, zwakke set sleutels naast de bedoelde set, en kwam die set per ongeluk in de vertrouwenslijsten terecht. Een onderzoeker rekende de sleutels naar eigen zeggen in minder dan een seconde uit. Wie zo’n sleutel heeft, kan een certificaat uitgeven voor elke website of server, en een systeem dat eMudhra vertrouwt, slikt dat.
Misbruik is niet bekend. eMudhra zegt dat er nooit certificaten zijn uitgegeven vanuit deze acht tussencertificaten en ziet geen aanwijzing dat de sleutels voor de ontdekking zijn gebruikt. Het bedrijf trok ze op 18 oktober in.
Waarom je browser dit sneller oplost dan je smart home
Chrome en Firefox blokkeerden de certificaten op 17 oktober, iOS en Android twee dagen later, Windows op 20 oktober. Dat gaat via een centrale lijst die elk besturingssysteem op afstand bijwerkt. Een browser is de portier die elke ochtend een nieuwe lijst krijgt. Een slim apparaat heeft zo’n kanaal vaak niet. De lijst met vertrouwde autoriteiten zit ingebakken in de firmware en verandert pas wanneer er een nieuwe firmware komt.
Hoe groot is het risico in je eigen huis? Klein. Wie een vervalst certificaat wil gebruiken, moet zich ook nog in het netwerkverkeer tussen je apparaat en de server kunnen nestelen, en bekend misbruik is er niet. Het gaat dus om een gat dichten voordat iemand het gebruikt. Dat is geen reden om een Shelly uit de meterkast te slopen, wel een goede reden om de update niet op de lange baan te schuiven.
Welke Shelly-firmware hoort bij jouw apparaat?
Shelly koppelt in het changelog geen modellen aan de drie versies, dus een vaste lijst per model valt niet te geven. Wat wel vaststaat is het updatebeleid. Alle Gen3- en Gen4-apparaten krijgen alle updates, net als Gen2-modellen die nog in productie zijn. Gen2-apparaten met een directe opvolger, zoals de Plus 1, Plus 1PM, Plus 2PM, Plus i4, Plus Plug S en Plus H&T, zijn met firmware 1.7.x bevroren op functiegebied: nieuwe functies komen er niet meer, kritieke fixes wel. De aparte 1.7.6-release met dezelfde certificaatcorrectie laat zien dat Shelly die lijn ook hiervoor openhoudt.
Kom je met je apparaat op een 1.7.x of 2.0.x uit in plaats van 2.1.1, dan ligt dat aan het model. Wat de app aanbiedt, telt. Bouw je nu nieuwe modules in, dan zit je met Gen4 aan de kant die alle updates blijft krijgen, zoals de Shelly 1 Gen4 achter een lichtschakelaar of de Shelly 2PM Gen4 voor twee kanalen met verbruiksmeting.
Zo update je in de app
Open Shelly Smart Control, kies het apparaat en ga naar de instellingen. In het firmwaremenu zie je de huidige en de beschikbare versie, plus een keuzeschakelaar voor automatisch updaten. Tik op Update en bevestig nog een keer. Het apparaat kan daarna even herstarten, en bij een enkel model moet je na de update op de fysieke knop drukken.
Shelly raadt af om een update te starten bij een apparaat dat je niet fysiek kunt bereiken, voor het geval er iets misgaat. Zet automatisch updaten aan als de app dat aanbiedt, dan hoef je dit soort correcties niet meer te onthouden.
Shelly Smart Control 1.12.0: CarPlay weer bij op iOS 27.2
Naast de firmware kreeg de iPhone-app een update. In de versienotities van Shelly Smart Control 1.12.0 staan twee punten: CarPlay-apparaten die niet meer bijwerkten onder iOS 27.2 zijn gerepareerd, en de ondersteuning voor de BLU TRV-thermostaten is verbeterd. Daarnaast noemt Shelly bugfixes en prestatieverbeteringen. De app is gratis en vraagt minimaal iOS 15. Sinds 27 oktober staat de update in de App Store.
CarPlay met je Shelly-apparaten
Shelly zegt niet welke apparaten of auto’s last hadden van de fout, alleen dat apparaten in Apple CarPlay niet meer bijwerkten. Wie zijn buitenlamp of garagepoort vanaf het autoscherm bedient, wil kunnen vertrouwen op wat er staat: staat de schakelaar echt aan of uit? Dat vertrouwen brengt de fix terug. Zelf getest hebben we de reparatie niet, dus meer dan wat in de notities staat kunnen we er niet over zeggen.
Het instellen gaat in de app. Open de instellingen, ga naar de app-instellingen en zoek het onderdeel voor CarPlay-apparaten. Met Bewerken kies je welke apparaten in de auto verschijnen, daarna koppel je je iPhone aan CarPlay. Kies bewust een handvol apparaten waar je onderweg iets mee wilt doen, in plaats van het hele huis. Ook Homematic IP bracht CarPlay recent naar zijn app, dus smart home in de auto wordt steeds gewoner.
Betere BLU TRV-ondersteuning
De BLU TRV is de radiatorthermostaat van Shelly die via Bluetooth werkt. Wat de nieuwe versie precies verbetert, staat niet in de notities, dus een nieuwe functie of een opgelost verwarmingsprobleem kunnen we er niet uit afleiden. Heb je BLU TRV-thermostaten, installeer dan de app-update en kijk daarna of je planningen en temperaturen nog kloppen. Zijn er andere slimme radiatorknoppen in huis, dan staat de vergelijking in onze lijst van de beste slimme radiatorknop.
Zo houd je ook de rest van je smart home bij
Het eMudhra-voorval laat zien dat een smart home onderhoud nodig heeft op een plek waar je geen knop of scherm voor hebt: de vertrouwenslijst in de firmware. Begin met alles wat een deur, poort of camera bedient, zoals slimme sloten en garagepoortbediening, en werk daarna schakelaars, modules en sensoren af. Controleer in de weken na zo’n voorval ook je router en hub op nieuwe firmware, want niet elke fabrikant is even snel.
Voor apparaten die op 1.7.x zijn blijven staan kan een Gen4-opvolger op termijn een slimme keuze zijn, zeker op plekken waar een module een deur of poort bedient.
Wil je meer uit je routines halen, bijvoorbeeld met een lekkagesensor, een temperatuurmeter of een stekkerdoos die allemaal updates blijven krijgen? Ontdek het volledige assortiment van Shelly bij tink.nl en automatiseer de plekken waar je nu nog zelf aan de knop zit.
