CISA: Schwachstelle in Rently Smart Home ermöglicht das Auslesen von PIN und Master-PIN

Am 25. August 2026 veröffentlichte die Cybersecurity and Infrastructure Security Agency (CISA) einen Advisory zu einer Schwachstelle im Produkt Rently Smart Home. Die als CVE-2026-75960 verfolgte Schwachstelle ermöglicht es einem Benutzer mit minimalen Berechtigungen, sensible Zugangsdaten auszulesen, darunter die PINs der Benutzer und die Master-PIN, und dabei die Autorisierungsmechanismen zu umgehen. Zum Zeitpunkt der Veröffentlichung sind keine gezielten aktiven Exploits bekannt, die Schwere ist jedoch hoch und es existiert noch kein Patch.

Advisory und keine bekannte Ausnutzung

Der Advisory ICSA-26-237-01, Revision 1, wurde am 25. August 2026 von der CISA veröffentlicht. Die Entdeckung wird dem Forscher Berk Dusunur zugeschrieben. Das Dokument meldet keine spezifisch gegen diese Schwachstelle gerichteten aktiven Ausnutzungskampagnen. Aus diesem Grund wird CVE-2026-75960 nicht im KEV-Katalog der aktiv ausgenutzten Schwachstellen geführt. Der KEV-Katalog ist Schwachstellen mit bestätigten Exploits in realen Umgebungen vorbehalten; hier fehlt derzeit jeglicher Beleg dafür. Das Fehlen bekannter Exploits verringert jedoch nicht die Notwendigkeit zu handeln: Da keine Korrektur verfügbar ist, sind Netzwerk-Mitigationsmaßnahmen die einzige verfügbare Verteidigung.

Wie die Schwachstelle funktioniert

Die Schwachstelle wird als CWE-522 klassifiziert, d. h. „Unzureichend geschützte Zugangsdaten“. Diese Kategorie umfasst Situationen, in denen Zugangsdaten im Klartext gespeichert, im Code hartkodiert oder mit schwachen kryptografischen Algorithmen geschützt sind. Der Advisory gibt nicht an, welche dieser Bedingungen auf Rently Smart Home zutrifft, aber die Auswirkung ist dieselbe: Ein Benutzer mit eingeschränktem Zugriff kann sie auslesen.

Insbesondere kann ein Angreifer, der bereits über ein Konto mit niedrigen Berechtigungen (PR:L) verfügt, die PINs der Benutzer, einschließlich der Master-PIN, erlangen. Die Master-PIN ist ein hochprivilegierter Zugangscode, der die Kontrolle über die gesamte Smart-Home-Installation ermöglicht: Schlösser, Alarme, Thermostate und andere verbundene Geräte. Der Angriff erfordert keine Interaktion mit dem Opfer (UI:N) und hat eine geringe Komplexität (AC:L). Der Zugriff erfolgt über das Netzwerk (AV:N).

Nach CVSS 3.1 ist die Auswirkung auf Vertraulichkeit und Integrität hoch, auf die Verfügbarkeit jedoch null. Das System funktioniert weiter, aber ein Angreifer kann sensible Daten lesen und verändern. Der Basiswert beträgt 8,1 und wird als HOCH eingestuft. Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N.

Die CVSS-4.0-Bewertung mit einem Wert von 8,7 fügt außerdem eine hohe Auswirkung auf die Verfügbarkeit des betroffenen Systems hinzu. Der Vektor lautet CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. In diesem Fall kann das kompromittierte System zusätzlich zum Diebstahl und zur Veränderung von Daten auch nicht verfügbar gemacht werden. Es gibt keine Auswirkungen auf nachgelagerte Systeme.

Wer ist betroffen und wo

Das betroffene Produkt ist Rently Smart Home, entwickelt von Rently, einem Unternehmen mit Sitz in den USA. Betroffen sind alle Versionen bis einschließlich 20.1.0. Der Advisory gibt an, dass das Produkt in den USA und Indien vertrieben wird. Die aufgeführten kritischen Infrastruktursektoren sind Commercial Facilities, Communications und Information Technology.

Commercial Facilities umfasst Gewerbegebäude, Einkaufszentren, Hotels und ähnliche Einrichtungen. Communications schließt Kommunikationsinfrastrukturen ein. Information Technology deckt betriebliche Informationssysteme ab. In all diesen Kontexten kann Rently Smart Home zur Verwaltung physischer Zugänge und zur Automatisierung eingesetzt werden. Eine Kompromittierung kann daher direkte Auswirkungen auf die Gebäudesicherheit und die Verfügbarkeit von Diensten haben. Der Advisory gibt nicht an, ob es eine korrigierte Version nach 20.1.0 gibt. Derzeit ist kein dedizierter Patch verfügbar.

Konsequenzen für Nutzer und Administratoren

Wer Rently Smart Home einsetzt, muss davon ausgehen, dass ein Angreifer, der sich authentifizieren kann, selbst mit eingeschränkten Zugangsdaten, die PINs aller Benutzer auslesen kann. Der Diebstahl der Master-PIN ermöglicht es, sich als Administrator auszugeben und Türen zu entriegeln, Sicherheitssysteme zu deaktivieren oder Konfigurationen zu ändern. Wenn ein Gebäude Rently für Türschlösser verwendet, könnte ein Angreifer mit der Master-PIN alle Türen öffnen, ohne offensichtliche Spuren zu hinterlassen.

Die Auswirkung auf die Vertraulichkeit ist offensichtlich: Die PINs sind nicht mehr geheim. Die Auswirkung auf die Integrität bedeutet, dass ein Angreifer Berechtigungen oder Einstellungen ohne Autorisierung ändern kann. Es sind keine realen Ausnutzungsfälle bekannt, aber die Kombination aus hoher Schwere und fehlendem Patch macht das Risiko für diejenigen konkret, die das Gerät dem Internet oder nicht isolierten Netzwerken aussetzen.

Die Empfehlungen der CISA

Da kein Patch verfügbar ist, empfiehlt die CISA allgemeine Verteidigungsmaßnahmen. Die erste besteht darin, die Netzwerkexposition zu minimieren: Rently-Smart-Home-Geräte sollten nicht aus dem Internet erreichbar sein. Sie sollten hinter Firewalls platziert und von Unternehmensnetzwerken isoliert werden. Wenn ein Fernzugriff erforderlich ist, sollten sichere Methoden wie ein VPN verwendet werden, das auf dem neuesten Stand gehalten und so konfiguriert wird, dass der Zugriff nur auf autorisierte Geräte beschränkt ist.

Bevor irgendeine Verteidigungsmaßnahme angewendet wird, schlägt der Advisory vor, eine Folgenabschätzung und eine Risikobewertung durchzuführen. Für Betreiber industrieller Steuerungssysteme verweist die CISA auf die entsprechende Seite unter cisa.gov/ics sowie auf Dokumente wie „Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies“ und das Technical Information Paper ICS-TIP-12-146-01B. Im Bereich Social Engineering erinnert die Behörde daran, keine Anhänge zu öffnen oder Links in unerwünschten E-Mails anzuklicken, und empfiehlt die Leitfäden „Recognizing and Avoiding Email Scams“ und „Avoiding Social Engineering and Phishing Attacks“.

Über die Netzwerkisolierung hinaus gibt es keine spezifischen Workarounds. Vom Hersteller wurden im Advisory keine softwarebasierten Gegenmaßnahmen angegeben.

Das Gesamtbild

Die Schwachstelle CVE-2026-75960 zeigt, wie ein Fehler beim Schutz von Zugangsdaten ein gesamtes Smart-Home-System kompromittieren kann. Die Entdeckung durch einen externen Forscher, Berk Dusunur, weist darauf hin, dass das Produkt analysiert wurde und Sicherheitslücken aufweist. Das Fehlen bekannter Exploits zum Zeitpunkt der Veröffentlichung sollte nicht dazu verleiten, die Wachsamkeit zu senken: Das Fehlen eines Patches setzt die Benutzer potenziellen künftigen Angriffen aus. Rently hat noch keine Angaben zu Zeitplan oder Art der Behebung veröffentlicht. In der Zwischenzeit besteht die einzig wirksame Strategie darin, die Angriffsfläche zu reduzieren, indem Geräte isoliert und Zugriffe eingeschränkt werden.