Siemens ProductCERT publiceerde op 30 oktober 2026 advisory SSA-443410 over de Node2Shell-kwetsbaarheid CVE-2026-111497 in Industrial Edge. Voor de getroffen Industrial Edge Management-applicaties is volgens Siemens nog geen fix beschikbaar.
Kernfeiten
- CVE-2026-111497 is volgens Siemens een buffer overflow in de Brotli-decoder (Google Brotli versies 1.0.3 tot en met 1.2.0). Een niet-geauthenticeerde aanvaller op afstand kan daarmee geheugen beschadigen, gevoelige geheugeninhoud uitlezen, een denial of service veroorzaken of mogelijk willekeurige code uitvoeren. CVSS v3.1-score 9.8, CVSS v4.0-score 9.2. (bron: Siemens ProductCERT)
- Zonder geïnstalleerde Management Applications is volgens Siemens geen actie nodig: de getroffen Brotli-bibliotheek zit wel in de IEM-softwarestack, maar de getroffen functionaliteit wordt niet gebruikt of ontsloten. Hetzelfde geldt voor IEDK. (bron: Siemens ProductCERT)
- Getroffen applicaties zonder fix: Cloud Connector Configurator, Common Configurator on Device (CC on Edge), Common Configurator (CC on IEM), Data Flow Monitoring, Databus Configurator, Edge OPC UA Server Configurator en Flow Creator Configurator. (bron: Siemens ProductCERT)
- Mitigatie volgens Siemens: alle Management Applications verwijderen en de IEM-instantie met een firewall/WAF beschermen tot er een fix is; CC on Edge en Data Flow Monitoring stoppen tot er een fix is. (bron: Siemens ProductCERT)
- De Siemens-cloudservices Industrial Edge Hub (vanaf 29 oktober 2026) en Industrial Edge Management Cloud (vanaf 28 oktober 2026) zijn centraal gefixt; gebruikers hoeven daar niets te doen. (bron: Siemens ProductCERT)
Welke Brotli-versies verhelpen CVE-2026-111497?
Volgens Siemens moeten gebruikers Brotli-bibliotheken of -binaries van versie 1.0.3 tot en met 1.2.0 bijwerken naar 1.0.10, 1.1.1 of 1.2.1.
Bron
Datum bron: 30 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).