Ein Firmware-Update ohne neue Knöpfe, ohne neue Farben, ohne neues irgendwas – klingt nach dem langweiligsten Changelog-Eintrag des Jahres. Ist es aber nicht. Shelly hat am 26. Oktober gleich drei Firmware-Versionen nachgeschoben, die alle denselben einzigen Punkt enthalten: „Update CA bundles, drop compromised eMudhra roots“. Übersetzt: Eure Shellys vertrauen ab sofort ein paar Zertifizierungsstellen weniger – und zwar genau denen, die gerade ihren Generalschlüssel unter der Fußmatte liegen gelassen haben. Aufgefallen ist das den Kollegen von SmarthomeAssistent, die Details stehen im offiziellen Shelly-Changelog.
🔐 Was bei eMudhra schiefgelaufen ist
eMudhra ist eine indische Zertifizierungsstelle, deren Stammzertifikate in vielen Vertrauensspeichern stecken. Laut Mozilla waren die privaten Schlüssel von acht eMudhra-Zwischenzertifikaten kompromittiert. Damit hätten Angreifer gültig aussehende HTTPS-Zertifikate für fremde Webseiten und Dienste ausstellen können. Ursache war laut Berichten ein Fehler bei der Schlüsselerzeugung, der deutlich zu schwache Schlüssel produzierte (iTnews).
Firefox, Chrome und Apple haben die betroffenen Zwischenzertifikate innerhalb weniger Tage gesperrt. Mozilla hat zusätzlich das darüberliegende Stammzertifikat aus seinem Vertrauensspeicher geworfen, Chrome zieht nach. Der Haken: Browser holen sich solche Sperrlisten automatisch, Geräte mit fest eingebautem Zertifikatsspeicher nicht. Dazu gehört so ziemlich jedes IoT-Gerät – und damit auch euer Shelly im Lichtschalter. Genau diese Lücke schließt das Update. Einen Angriff auf Shelly-Geräte nennt der Hersteller übrigens nicht; es handelt sich um eine Vorsichtsmaßnahme.
📦 Welcher Shelly bekommt welche Version?
Im Changelog tauchen am 26. Oktober drei Versionen mit identischem Fix auf. Eine Zuordnung pro Modell liefert Shelly nicht, aber die Update-Richtlinie macht es halbwegs klar:
- 2.1.1 bzw. 2.0.3: für Gen3, Gen4 und Gen2-Geräte, die noch produziert werden. Welche der beiden Versionen bei euch auftaucht, hängt vom Firmware-Zweig des Modells ab.
- 1.7.6: für die „eingefrorenen“ Gen2-Geräte wie Shelly Plus 1, Plus 1PM, Plus 2PM, Plus Plug S, Plus i4 oder Plus H&T. Die bekommen seit 1.7.x keine neuen Funktionen mehr, Sicherheitskorrekturen aber schon – wie man hier sieht.
- Gen1 (Shelly 1, 2.5, Plug S der ersten Generation) hat eine eigene Firmware-Linie und taucht in diesem Changelog nicht auf.
Die gute Nachricht für Besitzer älterer Plus-Geräte: Ihr seid nicht vergessen worden. Wer nur „2.1.1“ sucht und nichts findet, schaut einfach nach 1.7.6.
🏠 Was heißt das für Home Assistant?
Die Shelly-Integration in Home Assistant spricht im Heimnetz direkt mit den Geräten (wie das unter der Haube läuft, steht in meinem Beitrag zur Shelly API), dafür spielen die öffentlichen Zertifizierungsstellen keine Rolle. Relevant werden sie bei allem, was der Shelly selbst verschlüsselt nach draußen schickt: die Verbindung zur Shelly Cloud, MQTT über TLS zu einem externen Broker oder HTTPS-Aufrufe aus Skripten und Aktionen. Wer seine Shellys komplett lokal betreibt, ist also weniger exponiert – updaten solltet ihr trotzdem, ein sauberer Zertifikatsspeicher schadet nie.
Am bequemsten geht das direkt in Home Assistant: Die Shelly-Integration legt pro Gerät eine Firmware-Update-Entität an, das Update erscheint dann ganz normal unter Einstellungen → Updates. Alternativ geht es über die Shelly-App oder die lokale Weboberfläche des Geräts. Und falls ihr euch fragt, ob ihr den Shelly-Account dafür überhaupt braucht: Nein, wie auch in der simon42 Community schon diskutiert wurde.
Fazit: Kein Grund zur Panik, aber ein guter Grund, mal wieder auf den Update-Knopf zu drücken. Langweilige Updates sind halt oft die wichtigsten – so wie Zähneputzen, nur mit weniger Zahnpasta.
🛒 Passende Geräte
| Bild | Bezeichnung | Info | Shop |
|---|---|---|---|
 |
Shelly 2PM Gen4 - Dual Relais / Rollo, 2 Kanäle, 16A* | Preis: € 149,95 | Zu Amazon* |
 |
Shelly 2PM Gen4 - Dual Relais / Rollo, 2 Kanäle, 16A* | Preis: € 25,99 | Zu Amazon* |
 |
Shelly RGBW2 Wireless Relais, LED-Streifen, 12-24 Volt, Amazon Alexa und Google Home, 1 Stück* | Preis nicht verfügbar | Zu Amazon* |
 |
Shelly H&T Temperatur und Feuchte Sensor (Weiß)* | Preis nicht verfügbar | Zu Amazon* |
 |
Shelly Flood | Kabelloser Flutsensor mit Temperaturmessung | Hausautomation | Tropf- und Leckalarm Fußbodenheizungssteuerung Kompaktes Design leicht zu bedienen Batterielebensdauer bis zu 18 Monaten* | Preis: € 25,25 | Zu Amazon* |
🔎 Auf der Suche nach dem passenden Gerät?
