Homey waarschuwt gebruikers voor kritieke kwetsbaarheid: installeer update

Homey biedt een update die een kritieke kwetsbaarheid in zijn firmware fixt. Het bedrijf waarschuwt gebruikers hierover in een e-mail, die meerdere tweakers hebben ontvangen. De kritieke kwetsbaarheid werd ontdekt door een externe onderzoeker. Het is niet bekend wat precies de impact is.

Homey stelt dat het geen bewijs heeft gezien dat aanvallers de kwetsbaarheid hebben misbruikt. Versie 13.4.1 dicht het beveiligingsgat 'volledig', aldus het bedrijf in de changelog. De update is beschikbaar voor de Homey Pro en de Homey Pro mini, maar ook voor de serversoftware die gebruikers zelf kunnen draaien op eigen hardware.

Gebruikers krijgen van Homey een e-mail waarin staat dat zij de update moeten installeren. De e-mail wijst hen erop dat ze een oudere firmwareversie draaien op hun apparatuur, zoals een Homey Pro. Gebruikers kunnen hun firmware bijwerken naar de nieuwste, veilige versie via de mobiele app van Homey. Via Meer, Instellingen, Updates kunnen ze kiezen voor Controleer op Updates.

De melding van de kritieke kwetsbaarheid kwam van 'een beveiligingsonderzoeker'. Die ontdekker gebruikte het meldingsproces van Homey voor gecoördineerde openbaarmaking van kwetsbaarheden.

Meer problemen verholpen

Naast een fix voor de kritieke kwetsbaarheid brengt update 13.4.1 voor de Homey-firmware nog andere verbeteringen. Zo fixt de update problemen met directe, meerkanaalsverbindingen via Z-Wave met oudere apparaten. Daarnaast lost de update bugs op met smarthomeprotocol Matter.

De firmware in Homey-hardware krijgt een update voor een kritieke kwetsbaarheid.
Bron: Homey

Reacties (24)

[Turmin]

Athom checkt of mensen wel de laatste versie hebben geïnstalleerd en op basis daarvan krijgen ze een e-mail? Begrijp ik dat nu goed?
Ik heb geen e-mail gehad en zie dat ik 13.4.1 al heb.

[canonball]

lijkt er inderdaad op, ik heb automatische updates UIT staan, en heb wel de mail gehad.

In de mail staat ook:

Our records show your Homey Pro was running an older version as of August 20. If that’s still the case, follow the steps below:

[Davey400]

Ik zou dan wel nieuwsgierig worden wat hun records nog meer ‘showen’.

Iemand die hier meeleest weleens een inzageverzoekje gedaan?

[smarthome1]

Ze slaan alleen metadata op van je Homey. Je kan in de response van api.athom.com/user/me met DevTools bekijken. Het bevat:

- Homey ID
- Homey naam
- Taal van Homey
- Gebruikers die toegang hebben tot de Homey
- Licenties (Moods, Advanced Flow, Dashboards voor Pro 2019)
- Welke apps er geïnstalleerd staan, en welke versie.
- Het externe en interne IP-adres van je Homey
- Fabricagedatum van de Homey
- Cloudserver waarmee de Homey verbonden is (in welke regio)
- Modelnummer van Homey
- Verbonden Homey Bridges
- Softwareversie van de Homey
- Locatie van de Homey (als je dat hebt ingesteld voor Geofencing)


Alle gegevens van je apparaten op Homey blijven lokaal opgeslagen, behalve als je een cloudbackup abonnement hebt.

Communicatie met de Homey gaat via een lokale URL (b.v. 192-168-1-2.homeylocal.com, met een DNS-record naar het IP) wanneer een lokale verbinding mogelijk is, en als dat niet mogelijk is via een proxyserver (homey-id.connect.athom.com).

[Reactie gewijzigd door smarthome1 op 20 augustus 2026 17:59]

[lenwar]

Kun je tegenwoordig ook die proxy uitzetten voor je apparaat? Dus als je om reden x juist niet wilt dat je apparaat vanaf het internet beschikbaar is?

[smarthome1]

Nee, dat is niet mogelijk. Het is nodig voor de mobile app, omdat deze elke 14 dagen het token moet verlengen van de server. Ook is het nodig voor o.a. Google Home, Alexa, IFTTT, Pushmeldingen (die werken net als veel andere apps via FCM of APNS), Geofencing, Webhooks (sommige apps gebruiken deze om data te ontvangen van clouddiensten) en toegang op afstand.

[Reactie gewijzigd door smarthome1 op 20 augustus 2026 18:41]

[lenwar]

Ik doelde eigenlijk specifiek op toegang op afstand volledig uitzetten.

Dat je het apparaat de facto aan het internet moet hangen voor allerlei zaken, betekend niet dat toegang/bediening op afstand per se beschikbaar moet zijn.

Ik weet dat je ook lokale accounts kunt maken, maar je kunt het dus niet helemaal uitzetten, als je dat zou willen.

Ik had trouwens hier op Tweakers van iemand van Athom begrepen dat je het apparaat ook permanent van het internet kan halen, en dat alles gewoon blijft werken. Op de cloud-afhankelijke zaken na, natuurlijk, maar dat de app gewoon zou moeten blijven werken.

Het verplichte toegang op afstand werd vakkundig genegeerd 😊.

[Reactie gewijzigd door lenwar op 20 augustus 2026 19:48]

[smarthome1]

Je kan Homey volledig blokkeren van het internet, je Flows blijven werken. Als je een Pro 2023 of nieuwer hebt, kan je ook de mobile app en webapp lokaal gebruiken als je dit vooraf instelt via de cloud webapp. Maar als je internet blokkeert werken veel apps ook niet goed meer (veel Homey apps hebben een server nodig om te communiceren met apparaten), kan je geen updates installeren en geen apps installeren.

[Reactie gewijzigd door smarthome1 op 20 augustus 2026 20:04]

[lenwar]

Ik snap dat je dan heel veel functionaliteit verliest. Dat is logisch, en daar gaat het ook niet om.

Het gaat erom dat als je je Homey bijvoorbeeld alleen wil gebruiken voor wat Zigbee/Z-wave apparaten, dan heeft het apparaat niets op internet te zoeken. (En dan laten we in het midden of Homey dan het meest logische apparaat is. Dan zijn 'simpelere' (minder functionaliteit) domotica-hubs waarschijnlijk logischer.)

[mark_78]

Ik vermoed dat je gelijk hebt, hier draait ook 13.4.1 (uiteraard meteen even gaan kijken). Ook hier geen email van homey.

[Caayn]

Idem 13.4.1 was twee dagen geleden al automatisch geïnstalleerd.

[RemiR]

Ik draaide oudere versie (zonder autoupdate ingeschakeld) en heb niets ontvangen. Dus weet niet exact hoe ze het checken.

[greg-a]

Hoe zit dat als je nog de oude/eerste Homey hebt?

[Macron]

Die krijgt deze update ook. In de releasenotes daarvan zie ik alleen geen melding over deze kritieke fix. Heb er zelf ook een, zo'n mooie witte bol

[Webgnome]

Dat viel mij ook al op. In de changelogs geen woord over deze bugfix

[micnocom]

Eerste weet ik niet maar mijn early 2018 (non) Pro heeft de update gehad.

[Killerbert]

Hier dacht ik precies hetzelfde en heb ik het net zelf even geverifieerd. Ik heb zelf niets aangepast; de automatische updates staan aan. Na het inloggen:

• Homey Pro Early 2016 (Kickstarter) → 13.4.1

Mogelijk verschilt de versie per type Homey/device.

[RemiR]

Early 2018 is te updaten

[smarthome1]

Ik heb de update ook al gehad voor mijn Pro 2019 (versie 13.4.1)

[_PieterZ]

Netjes gecommuniceerd vanuit Homey. Ik zag vanochtend de mail en heb direct een upgrade uitgevoerd.

[Ziglar]

inderdaad had het wel in het artikel mogen staan dat mensen met automatische updates deze update al 2 dagen geleden hebben gekregen. ik gok toch dat 95% van de gebruikers dat aan heeft staan en dus onnodig getriggerd word hierdoor.

[bitflusher]

Gisteren een popup in mijn homey app voor mijn Homey self hosted instance. De urgentie was me niet duidelijk (verschilde niet van andere updates) maar heb had hem wel al geïnstalleerd.

[beerse]

Op zich netjes dat ze de oudere homeys ook bijwerken met dit soort issues. Mijn homey-pro-2019 is ook netjes automatisch bijgewerkt (zoals staat ingesteld).

Wel hoop ik ook dat er ook functionele updates/upgrades komen. Met dat er geen thread-hardware in zit, kan ik mij voorstellen dat die er niet in zit. Maar het matter protocol zou wel mogen. Of heb ik ergens iets gemist en zijn dat soort toevoegingen er ondertussen wel?

[smarthome1]

Nee, Matter werkt niet op Pro 2019, zelfs simpele functies zoals het verbergen van apparaten in de lijst worden niet meer uitgebracht voor Pro 2019. Het lijkt erop dat de oudere Homey's alleen nog bugfixes krijgen.

[Reactie gewijzigd door smarthome1 op 20 augustus 2026 22:29]