CISA: falla in Rently Smart Home consente di recuperare PIN e Master PIN

Il 25 agosto 2026, la Cybersecurity and Infrastructure Security Agency (CISA) ha pubblicato un advisory riguardante una vulnerabilità nel prodotto Rently Smart Home. La falla, tracciata come CVE-2026-75960, consente a un utente con privilegi minimi di estrarre credenziali sensibili, inclusi i PIN degli utenti e il Master PIN, scavalcando i meccanismi di autorizzazione. Al momento della pubblicazione non risultano exploit attivi mirati, ma la gravità è alta e non esiste ancora una patch.

Advisory e assenza di sfruttamento noto

L'advisory ICSA-26-237-01, revisione 1, è stato rilasciato da CISA il 25 agosto 2026. La scoperta è attribuita al ricercatore Berk Dusunur. Il documento non segnala campagne di sfruttamento attivo specificamente dirette contro questa falla. Per questo motivo, CVE-2026-75960 non risulta inserita nel catalogo KEV delle vulnerabilità sfruttate in modo attivo. Il catalogo KEV è riservato alle falle con exploit confermati in ambienti reali; qui manca al momento qualsiasi evidenza in tal senso. L'assenza di exploit noti non riduce però la necessità di agire: la mancanza di una correzione rende le mitigazioni di rete l'unica difesa disponibile.

Come funziona la vulnerabilità

La vulnerabilità è classificata CWE-522, ovvero "Insufficiently Protected Credentials". Questa categoria comprende situazioni in cui le credenziali sono memorizzate in chiaro, hardcoded nel codice o protette con algoritmi crittografici deboli. L'advisory non specifica quale di queste condizioni affligga Rently Smart Home, ma l'effetto è il medesimo: un utente con accesso limitato può leggerle.

In particolare, un attaccante che dispone già di un account con privilegi bassi (PR:L) può ottenere i PIN degli utenti, incluso il Master PIN. Il Master PIN è una credenziale ad alto privilegio che permette di controllare l'intera installazione smart home: serrature, allarmi, termostati e altri dispositivi collegati. L'attacco non richiede interazione con la vittima (UI:N) e ha bassa complessità (AC:L). L'accesso avviene da rete (AV:N).

Secondo il CVSS 3.1, l'impatto è alto su riservatezza e integrità, ma nullo sulla disponibilità. Il sistema continua a funzionare, ma un attaccante può leggere dati sensibili e modificarli. Il punteggio base è 8,1, considerato HIGH. Il vettore è CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N.

La valutazione CVSS 4.0, con punteggio 8,7, aggiunge un impatto alto anche sulla disponibilità del sistema vulnerabile. Il vettore è CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. In questo caso, il sistema compromesso può essere reso non disponibile, oltre a subire furto e alterazione dei dati. Non ci sono impatti sui sistemi successivi.

Chi è coinvolto e dove

Il prodotto interessato è Rently Smart Home, sviluppato da Rently, azienda con sede negli Stati Uniti. Sono affette tutte le versioni fino alla 20.1.0 inclusa. L'advisory indica che il prodotto è distribuito in Stati Uniti e India. I settori di infrastruttura critica elencati sono Commercial Facilities, Communications e Information Technology.

Commercial Facilities comprende edifici commerciali, centri commerciali, hotel e strutture simili. Communications include infrastrutture di comunicazione. Information Technology copre sistemi informatici aziendali. In tutti questi contesti, Rently Smart Home può essere usato per gestire accessi fisici e automazione. Un compromesso può quindi avere conseguenze dirette sulla sicurezza degli edifici e sulla disponibilità dei servizi. L'advisory non specifica se esista una versione corretta successiva alla 20.1.0. Allo stato attuale, non è disponibile una patch dedicata.

Conseguenze per utenti e amministratori

Chi utilizza Rently Smart Home deve considerare che un attaccante in grado di autenticarsi, anche con credenziali limitate, può leggere i PIN di tutti gli utenti. Il furto del Master PIN consente di impersonare l'amministratore e di sbloccare porte, disattivare sistemi di sicurezza o modificare le configurazioni. Se un edificio usa Rently per le serrature delle porte, un attaccante con il Master PIN potrebbe aprire tutte le porte senza lasciare tracce evidenti.

L'impatto sulla riservatezza è evidente: i PIN non sono più segreti. L'impatto sull'integrità significa che un attaccante può cambiare autorizzazioni o impostazioni senza essere autorizzato. Non sono noti casi reali di sfruttamento, ma la combinazione di gravità alta e assenza di patch rende il rischio concreto per chi espone il dispositivo a Internet o a reti non isolate.

Le raccomandazioni di CISA

Poiché non esiste una patch, CISA raccomanda misure difensive generali. La prima è minimizzare l'esposizione di rete: i dispositivi Rently Smart Home non devono essere raggiungibili da Internet. Vanno collocati dietro firewall e isolati dalle reti aziendali. Se è necessario l'accesso remoto, si devono usare metodi sicuri come una VPN, mantenuta aggiornata all'ultima versione e configurata in modo da limitare l'accesso ai soli dispositivi autorizzati.

Prima di applicare qualsiasi difesa, l'advisory suggerisce di eseguire un'analisi d'impatto e una valutazione del rischio. Per chi gestisce sistemi di controllo industriali, CISA rimanda alla pagina dedicata su cisa.gov/ics e a documenti come "Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies" e il technical information paper ICS-TIP-12-146-01B. Sul fronte dell'ingegneria sociale, l'agenzia ricorda di non aprire allegati o cliccare link in email non richieste, e di consultare le guide "Recognizing and Avoiding Email Scams" e "Avoiding Social Engineering and Phishing Attacks".

Non ci sono workaround specifici oltre all'isolamento di rete. Nessuna mitigazione software è stata indicata dal vendor nell'advisory.

Il quadro complessivo

La vulnerabilità CVE-2026-75960 mostra come un errore di protezione delle credenziali possa compromettere un intero sistema smart home. La scoperta da parte di un ricercatore esterno, Berk Dusunur, indica che il prodotto è stato analizzato e presenta lacune di sicurezza. L'assenza di exploit noti al momento della pubblicazione non deve far abbassare la guardia: la mancanza di una patch lascia gli utenti esposti a eventuali attacchi futuri. Rently non ha ancora rilasciato indicazioni su tempi o modalità di correzione. Nel frattempo, l'unica strategia efficace è ridurre la superficie di attacco, isolando i dispositivi e limitando gli accessi.