Volgens de WinCC OA-kennisbank van Siemens (toegevoegd 30 oktober, herzien 2 november 2026) is WinCC OA in alle versies getroffen door CVE-2026-111497, de Node2Shell- of Broccoli2Shell-kwetsbaarheid in de Brotli-decoder van Google. Een hotfix en een patch zijn aangekondigd.
Kernfeiten
- Siemens bevestigt op de WinCC OA-kennisbank dat WinCC OA getroffen is door CVE-2026-111497, aangeduid als Broccoli2Shell of Node2Shell, in de Brotli-decoder van Google. Bij versie staat: ALL Versions. (bron: Siemens WinCC OA Knowledge Base)
- Volgens Siemens kan een out-of-bounds write mogelijk leiden tot een crash, een geheugenlek of remote code execution in software die een kwetsbare versie van Brotli gebruikt. (bron: Siemens WinCC OA Knowledge Base)
- Een bijgewerkte WinCC OA-versie komt volgens Siemens binnenkort: hotfix-patch 3.20.17.1 'in de komende dagen' en patch 3.21.7.0 medio november. (bron: Siemens WinCC OA Knowledge Base)
- Siemens evalueert nog de impact op andere getroffen Siemens-producten; bijbehorende security advisories (SSA) worden gepubliceerd zodra de bevindingen vorderen. (bron: Siemens WinCC OA Knowledge Base)
Wanneer komen de WinCC OA-patches voor CVE-2026-111497?
Volgens Siemens komt patch 3.21.7.0 medio november en hotfix-patch 3.20.17.1 in de komende dagen.
Bron
- Siemens WinCC OA Knowledge Base – Is WinCC OA affected by the current Node2Shell vulnerability (CVE-2026-111497)? (toegevoegd 30 oktober, herzien 2 november 2026)
- Siemens ProductCERT – Node2Shell/Broccoli2Shell (28 oktober 2026)
Datum bron: 2 november 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).