Wat betekent dit voor jou?
Werk je met FME? Dan staat er deze week één ding op je lijstje: updaten.
Op 4 november 2026 bracht Safe Software een beveiligingsupdate uit voor FME Form, FME Flow en FME Flow Hosted. Hieronder lees je wat het betekent, wat je moet doen en waar je op let. Zonder jargon.
Wat is er aan de hand?
Safe heeft 35 kwetsbaarheden opgelost. In het ergste geval kan een kwaadwillende daarmee code uitvoeren op de computer of server waarop FME draait. Eén kritiek lek raakt alle versies van FME Flow die nog niet zijn bijgewerkt.
Het goede nieuws: volgens Safe is er op het moment van publicatie geen misbruik van deze lekken bekend.
Wie loopt risico?
Vrijwel iedereen die niet op de nieuwste versie zit. Alle FME-versies ouder dan 2026.3.1 zijn kwetsbaar, met een paar uitzonderingen:
| Product en versie | Kwetsbaar? |
|---|---|
| FME Form of Flow 2026.3.1 en nieuwer | Nee |
| FME Form 2026.2 en 2026.3 | NeeWel wordt een hotfix aangeraden vanwege een fout met onder andere de PDF Writer |
| FME Flow 2026.2 en 2026.3 | Javoor één kritiek lek |
| Alle oudere versies van FME Form en FME Flow | Ja |
Het risico is groter als je FME Flow vanaf internet bereikbaar is, zoals bij FME Flow Hosted of een publiek toegankelijke FME Flow.
Wat moet je doen?
De makkelijkste en veiligste route is overstappen naar FME 2026.3.1 of nieuwer. Wil je op je huidige release blijven, dan zijn er per product andere opties.
| Product | Aanbevolen | Alternatief |
|---|---|---|
| FME Form | Upgrade naar 2026.3.1, of naar de nieuwste versie van je eigen release: 2026.1.2.1, 2025.2.4.2, 2025.1.3.5, 2025.0.3.2 of 2024.2.5.2 | Gefixte installers voor andere tussenversies vraag je aan bij Safe Support |
| FME Flow (zelf gehost) | Upgrade naar 2026.3.1, of naar 2026.2.1.2, 2026.1.2.1, 2025.2.4.2, 2025.1.3.5, 2025.0.3.2 of 2024.2.5.2 | Hotfix-patch toepassen én de FME Engine upgraden (voor versies 2024.2.0.0 tot en met 2026.3.0.0) |
| FME Flow Hosted | De update zelf starten via de instance-pagina: Triggered Alerts, dan Review Update en Apply Updates | De instance upgraden naar een gefixte versie |
| Versie ouder dan 2024.2 | Upgrade naar een nieuwere versie, voor deze versies zijn geen patches | Geen |
Drie praktische punten:
- FME Flow Hosted wordt niet automatisch bijgewerkt. Je start de update zelf. Vooraf wordt automatisch een snapshot gemaakt, zodat je altijd kunt terugdraaien.
- Bij de patch verandert het versienummer niet. Je controleert of de patch goed is toegepast aan de hand van de bestanden; Safe beschrijft dit in de advisory.
- Zet daarna de broadcast-melding uit in FME Flow (System Configuration, Broadcast Message). Die verdwijnt niet vanzelf.
Met een redelijk recente versie valt het mee
Onze specialist Hans van der Maarel heeft de FME Form- en Flow-omgevingen van Red Geographics na de release natuurlijk direct bijgewerkt.
Omdat wij een redelijk recente versie hebben, was het niet zo ingewikkeld. Het was vooral wachten op de backup. Andere klanten, met oudere versies, moeten waarschijnlijk meer doen.
Hans van der Maarel, Red Geographics
Zit je op een oudere versie? Hoe verder je achterloopt, hoe groter de stap. De kans is groter dat workspaces aangepast moeten worden. En voor versies ouder dan 2024.2 is er geen patch, dan is een echte upgrade nodig.
Onze tip: gebruik deze update om bij te komen. Elke versie die je overslaat, maakt de volgende update zwaarder.
Waar moet je op letten?
Controleer je beveiligingsinstelling
Je bent alleen beschermd als FME op de standaard beveiligingsinstelling staat: Default Hardening in FME 2026.2 en nieuwer, of de standaardinstellingen in oudere gepatchte versies. Heb je het niveau ooit verlaagd naar "minimal" of eigen uitzonderingen ingesteld? Dan blijf je kwetsbaar.
Test voordat je in productie gaat
TCL en FME-functies in parameter- en attribuutwaarden werken niet meer, of beperkt. Sommige transformers en scriptingfuncties werken daardoor anders. De meeste workspaces merken niets, maar test je belangrijkste processen eerst.
Maak een backup
Zeker bij FME Flow is een volledige backup voor het updaten verstandig.
Nog niet direct updaten?
Houd FME Flow binnen je eigen netwerk, geef alleen mensen een account die het nodig hebben, zet Flow-apps zonder inlog niet open voor onbekende netwerken en zet bij FME Flow Hosted IP-beperking aan.
Veelgestelde vragen
Onze FME draait on-premise en is niet via internet bereikbaar. Moeten we dan ook updaten?
Ja. Het risico is wel kleiner, omdat veel minder mensen bij je installatie kunnen. Maar niet elk risico komt van buiten. Denk aan iemand met een account, een bestand van een externe partij, of iemand die al ergens anders in je netwerk is binnengekomen. Een afgeschermde installatie geeft je vooral meer ruimte om rustig te testen. Security is nooit iets om te negeren, dus plan de update wel.
Wordt er al misbruik gemaakt van deze lekken?
Volgens Safe niet. Op het moment van publicatie is er geen misbruik bekend. Dat is een goed moment om te updaten, voordat dat verandert.
Kost de update geld?
Nee, de update zelf is gratis bij een geldige FME-licentie. Hulp bij het uitvoeren en testen is wel een dienst die je kunt inhuren.
Ik gebruik alleen FME Form op mijn eigen computer. Geldt dit ook voor mij?
Ja. Ook FME Form valt onder deze update. Een upgrade naar de nieuwste versie van je release is zo gedaan.
Hoe weet ik welke versie ik gebruik?
In FME Form vind je het versienummer via Help en dan About. In FME Flow staat het in de webinterface onder Help of About.
Gaan mijn workspaces stuk na de update?
De meeste niet. Alleen workspaces die TCL of FME-functies gebruiken in parameter- of attribuutwaarden, of bepaalde geavanceerde scripting, kunnen anders werken. Test daarom eerst in een testomgeving.
Ik zie een melding in FME Flow. Wat is dat?
Safe stuurt alleen bij kritieke beveiligingsupdates een broadcast-melding naar FME Flow. Na de update kun je die zelf uitzetten via System Configuration, Broadcast Message.
Wordt FME Flow Hosted automatisch bijgewerkt?
Nee. Je start de update zelf via de instance-pagina. Er wordt vooraf automatisch een snapshot gemaakt, dus terugdraaien kan altijd.
Stap voor stap updaten
Liever dat iemand met je meekijkt? We voeren de update graag voor je uit en testen je workspaces vooraf, zodat je zeker weet dat alles blijft draaien.
Neem contact op
Geschreven door Veerle
Eigenaar van Vinc Data. Vinc Data helpt gemeenten, waterschappen, provincies en ingenieursbureaus met FME-licenties, trainingen en consultancy. Vragen over deze update? Mail gerust naar veerle@vincdata.com.
