Delta Controls (DIBT) meldt in security bulletin 20261027 (revisie 2) dat de kritieke Brotli-kwetsbaarheid CVE-2026-111497 in de firmware van Red5-PLUS- en O3-Edge r1.0g+-controllers zit. Blootstelling hangt volgens Delta af van Node-RED, dat standaard uitgeschakeld is.
Kernfeiten
- CVE-2026-111497 is volgens het bulletin een kritieke kwetsbaarheid in de Brotli-decompressiebibliotheek, ook in de kopie die met Node.js wordt meegeleverd (ook bekend als Broccoli2Shell), die ongeautoriseerde uitvoering van code op afstand mogelijk kan maken. CVSS v4.0-score 9.2 (Critical). (bron: Delta Controls (DIBT))
- Getroffen controllers: Red5-PLUS (firmware 4.21 vóór 4.21.322, 4.19 vóór 4.19.1.3, en 4.18) en O3-Edge r1.0g+ (firmware 4.21 vóór 4.21.322 en 4.19 vóór 4.19.1.3). (bron: Delta Controls (DIBT))
- Bijgewerkte firmware 4.21.322 en 4.19.1.3 is beschikbaar via de lokale DIBT-partner; de update voor 4.18 is nog in behandeling. (bron: Delta Controls (DIBT))
- Tijdelijke mitigatie volgens Delta: Node-RED uitgeschakeld laten tenzij nodig, flows die HTTP-verzoeken doen of gecomprimeerde data van externe bronnen verwerken controleren, IP-controllers binnen vertrouwde lokale netwerken houden en niet direct aan het publieke internet blootstellen. (bron: Delta Controls (DIBT))
- Building Canvas is bijgewerkt naar een gepatchte Node.js-release; daarvoor is geen actie van klanten nodig. DIBT is niet bekend met bevestigd misbruik dat Delta-producten raakt. (bron: Delta Controls (DIBT))
Welke firmware verhelpt CVE-2026-111497 op Delta-controllers?
Volgens Delta firmware 4.21.322 of 4.19.1.3 voor Red5-PLUS- en O3-Edge r1.0g+-controllers; voor Red5-PLUS op 4.18 is een update nog in behandeling.
Bron
Datum bron: 27 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).