Exploitation ongoing with high activity in latest observed window (1 mentions)
Recommended action window: Immediate (within 24h)
NVD description
Rently Smart Home versions 20.1.0 and prior are vulnerable to an Insufficiently Protected Credentials vulnerability. This could allow an attacker to retrieve pins including the Master Pin, overriding standard user permissions.
Priority
HIGH
Exploitation
ACTIVE
PoC
YES
Patch
NONE
Momentum
STABLE
| Date | Total | Labels |
|---|
| 2026-08-26 | 1 | Active Exploitation1 |
| 2026-08-28 | 1 | Disclosure1 |
| 2026-08-29 | 2 | Disclosure2 |
| 2026-08-30 | 2 | Disclosure2 |
| 2026-08-31 | 1 | Active Exploitation1 |
One resident login, an entire apartment complex: the master PIN in Rently’s API (CVE-2026-75960) https://planckdefense.com/blog/rently-master-pin-idor-cve-2026-75960
Post summary
The text announces a vulnerability in Rently’s API that allows a single resident login PIN to compromise the entire apartment complex. No exploit code, patch information, or evidence of live attacks is provided.
One Resident Login, an Entire Apartment Complex: The Master PIN in Rently's API (CVE-2026-75960) https://planckdefense.com/blog/rently-master-pin-idor-cve-2026-75960
Post summary
The post announces a new vulnerability (CVE‑2026‑75960) affecting the Master PIN logic in Rently’s API, but provides no Proof‑of‑Concept, exploit code, or mitigation information.
【リンク集：週末のセキュリティ関連ニュース/記事】 ＜脆弱性＞ ・PaperCut NG／MFのゼロデイ脆弱性が悪用される 全バージョンに影響 https://thehackernews.com/2026/08/papercut-zero-day-exploited-in-attacks.html ・cPanelに重大な欠陥 ホスティングアカウントからサーバー全体のroot権限を取得できる恐れ（CVE-2026-65643） https://thehackernews.com/2026/08/critical-cpanel-flaw-could-let-one.html ・ServiceNow、最大深刻度のセキュリティ脆弱性3件について警告（CVE-2026-18885、CVE-2026-18886他） https://www.bleepingcomputer.com/news/security/servicenow-warns-of-three-max-severity-security-vulnerabilities/ ・攻撃で悪用されている欠陥の大半は数十年来のもの 米CISAの調査で明らかに https://www.theregister.com/security/2026/08/28/cisa-most-exploited-vulnerabilities-should-have-been-eradicated-decades-ago/5293194 ・ヒューマノイドロボットUnitree G1 EDUにroot権限でのRCEを可能にする脆弱性が2件見つかる Bluetooth経由で始まるものも（CVE-2026-76639、CVE-2026-76640） https://thehackernews.com/2026/08/two-unitree-g1-edu-humanoid-robot-flaws.html ・Giteaサーバー8,300台超がいまだパッチ未適用 コード実行攻撃に脆弱（CVE-2026-60004） https://www.bleepingcomputer.com/news/security/over-8-300-gitea-servers-vulnerable-to-code-execution-attacks/ ・米CISAがownCloud・Linuxカーネル・JFrog Artifactoryの脆弱性をKEVカタログに追加（CVE-2023-49105、CVE-2026-53362他） https://securityaffairs.com/198014/hacking/u-s-cisa-adds-owncloud-linux-kernel-and-jfrog-artifactory-flaws-to-its-known-exploited-vulnerabilities-catalog.html ・寄付プラグインGiveWPの欠陥により、ホスティングサーバー上で任意のコマンド実行が可能に（CVE-2026-82222） https://www.bleepingcomputer.com/news/security/givewp-wordpress-donation-plugin-flaw-lets-hackers-execute-server-commands/ ・Cosmos EVMの欠陥が悪用される Cosmos Labsはブロックチェーンの脆弱性を事前に正しく評価できず https://thehackernews.com/2026/08/cosmos-evm-flaw-exploited-after-cosmos.html ・Kaspersky Antivirus for Endpointにおける権限昇格のゼロデイ「HardBreacher」を、Nightmare Eclipseが公開 https://github.com/MSNightmare/HardBreacher ・Nvidia GreenSectionにおけるメモリ破損のゼロデイ脆弱性「GreenSection」を、Nightmare Eclipseが公開 https://github.com/MSNightmare/GreenSection ・居住者のログイン1回で集合住宅全体へアクセス可能に RentlyのAPIにおけるマスターPINの脆弱性（CVE-2026-75960） https://planckdefense.com/blog/rently-master-pin-idor-cve-2026-75960 ・ownCloudの脆弱性が悪用され、フィリピンの原子力研究機関から核関連レコードが盗まれる（CVE-2023-49105） https://thehackernews.com/2026/08/snowflake-github-actions-flaw-lets.html ・中国ZBT製ルーターにインプラント2件が存在 未認証の攻撃者にrootアクセス権を付与（CVE-2026-74232、CVE-2026-74233） https://thehackernews.com/2026/08/china-made-zbt-routers-ship-with-two.html ＜マルウェア・その他脅威＞ ・暗号通貨ウォレットのシードフレーズを収集するChromeとEdgeの拡張機能が19件発見される https://cyberinsider.com/19-chrome-and-edge-extensions-caught-harvesting-crypto-wallet-seeds/ ・TerminalFixがリバーストンネル型バックドアを展開、偽のCloudflare CAPTCHAを使用 https://thehackernews.com/2026/08/terminalfix-uses-fake-cloudflare.html ・アンソロピック、インフォスティーラーによるClaudeセッション乗っ取りと利用枠の不正消費を警告https://www.bleepingcomputer.com/news/artificial-intelligence/anthropic-warns-infostealer-malware-is-hijacking-claude-sessions-to-drain-usage/ ＜ランサムウェア＞ ・米アルコール・たばこ・火器爆発物取締局がサイバーインシデントを確認 Qilinグループによる犯行声明受け https://www.securityweek.com/atf-confirms-cyber-incident-after-ransomware-group-claims-attack/ ・ベルリン州政府、同市行政ネットワークからデータ盗んだハッカーへの身代金支払いを拒否 https://thehackernews.com/2026/08/berlin-refuses-to-pay-hackers-who-stole.html ＜データ侵害/サイバー犯罪＞ ・英マンチェスター空港グループで侵害発生 顧客データ約870万人分が盗まれる https://www.helpnetsecurity.com/2026/08/28/manchester-airports-group-data-breach/ ・米医療系大手McKessonがデータ侵害を公表 ShinyHuntersの主張受け https://www.bleepingcomputer.com/news/security/mckesson-discloses-breach-after-shinyhunters-claims-patient-data-theft/ ・英EVリース企業Love Electricの運転記録87万7,000件が流出、600米ドルで販売される https://securityaffairs.com/198033/data-breach/love-electric-breach-877000-driver-records-offered-for-600.html ・FulcrumSec、マンチェスター空港へのハッキングと86GBのデータ窃取を主張 https://www.bleepingcomputer.com/news/security/fulcrumsec-claims-manchester-airports-hack-theft-of-86-gb-of-data/ ・玩具大手ハズブロがデータ侵害を公表 従業員に影響及ぶ https://www.bleepingcomputer.com/news/security/toy-making-giant-hasbro-disclose-data-breach-affecting-employees/ ＜AI関連＞ ・テック・サイバーセキュリティ大手企業群、OpenAI主導のサイバー防御策に関する共同声明に署名 https://www.securityweek.com/tech-cybersecurity-giants-unite-behind-openai-led-cyber-defense-pledge/ ・中国製AIを排除するにはモデルの系統を見よ シスコが助言 https://www.securityweek.com/think-youve-eliminated-chinese-ai-check-the-models-lineage-cisco-says/ ・Claude・Codex・Hermesなど主要AIツールが企業ネットワーク内に不審なコードをインストールする可能性 https://www.techradar.com/pro/security/top-ai-tools-including-claude-codex-and-hermes-installed-suspicious-code-inside-corporate-networks ・米国防総省が不当にアンソロピック社をブラックリストに追加 Claudeの持つ権限めぐり https://www.theregister.com/ai-and-ml/2026/08/28/pentagon-blacklisted-anthropic-over-claude-powers-it-didnt-have/5293266 ＜サイバー戦/APT/国家型アクター/地政学関連＞ ・APT28関連のHOOKEDGEバックドアが欧州の政府・外交機関を標的に https://thehackernews.com/2026/08/apt28-linked-hookedge-backdoor-targets.html ・北朝鮮のリモートワーカー、IT分野以外にも職探しの幅を広げる https://www.helpnetsecurity.com/2026/08/28/north-korean-remote-workers-jobs-sales-and-marketing/ ・影響工作への関与疑われる中国のボットアカウント約20万件がXで見つかる https://ministryofcyberaffairs.com/news/suspected-chinese-bot-farm-of-approx-200-000-accounts-involved-in-influence-operations-idenfied-by-x-2ff79ffb-2686-40c7-8b2e-69fcad94ce6b ＜逮捕/テイクダウン/制裁/違反/その他法執行関連＞ ・アンソロピック社、サプライチェーンリスクとみなされた訴訟で米国防総省に初の勝訴 https://techcrunch.com/2026/08/28/anthropic-gets-its-first-court-win-over-the-pentagons-supply-chain-risk-label/ ・違法なIPTVサービスを提供した68歳の男に実刑判決 約98万英ポンド130万米ドルの収益上げる https://www.bleepingcomputer.com/news/security/68-year-old-imprisoned-after-making-13-million-by-pirating-iptv-services/ ・元米国防情報局のIT専門家、機密情報漏洩未遂の罪を認める https://www.scworld.com/brief/former-dia-it-specialist-pleads-guilty-to-attempting-to-leak-classified-information ・ソニーミュージックとワーナーがアンソロピックを提訴 「厚顔無恥な」知的財産侵害行為と主張 https://techcrunch.com/2026/08/29/sony-music-warner-sue-anthropic-alleging-a-brazen-campaign-of-intellectual-property-theft/ ＜プライバシー＞ ・Android 17で新たな保護機能を追加 不正なWi-FiトラッキングやWebスヌーピングに対応 https://www.helpnetsecurity.com/2026/08/28/android-17-network-security-features/ ・米市郡でFlock Safety製監視カメラの契約解除が続出 8月だけで90自治体が解約 https://arstechnica.com/tech-policy/2026/08/cities-terminate-flock-contracts-at-record-pace-in-august/ ＜リサーチ/攻撃手法/TTP＞ ・TeamCityにおける認証不要のRCE脆弱性について解説（CVE-2026-63077） https://blog.securelayer7.net/cve-2026-63077-teamcity-rce/ ・Cl0pが認証情報なしで企業情報にアクセスした方法 https://www.scworld.com/perspective/how-clop-accessed-the-enterprise-blueprint-with-no-credentials ・Claude CodeにWebサイト要約を依頼するだけで有害コードの実行が可能に 研究者が方法を紹介 https://www.theregister.com/research/2026/08/28/researcher-shows-how-claude-code-can-be-tricked-simply-by-asking-it-to-summarize-a-website/5293372 ・ブロックチェーンのスキミング：マルバタイズスキャン中にEtherHidingを使うMagecartキャンペーンが発見される https://blog.confiant.com/p/skimming-on-the-blockchain-a-magecart ・100社に個人データの開示を要求した結果、数社は勝手にデータを削除 https://arstechnica.com/tech-policy/2026/08/i-asked-100-companies-for-my-data-some-deleted-it-instead/ ・悪用追跡：ADCSデータベースを通じた権限昇格の検知 https://www.guidepointsecurity.com/blog/detecting-privilege-escalaction-through-adcs/ ・Chromeウェブストアの拡張機能で暗号資産やブラウザデータを窃取 https://www.bleepingcomputer.com/news/security/chrome-web-store-extensions-caught-stealing-crypto-browser-data/ ＜その他＞ ・アンソロピック、Claude Codeの週次利用制限枠を17％縮小へ ・
Post summary
The report highlights multiple CVEs under active exploitation, including zero-days in PaperCut, Cosmos EVM, and ownCloud, notes CISA KEV additions, and references publicly released exploit code for Kaspersky and Nvidia zero-days.
🚨*CVE* CVE-2026-75960 Rently Smart Home versions 20.1.0 and prior are vulnerable to an Insufficiently Protected Credentials vulnerability. This could allow an attacker to retrieve pins inc… https://www.cve.org/CVERecord?id=CVE-2026-75960 ----- Traducción: CVE-2026-75960 Ren… https://infoflow.cloud`
Post summary
The text announces CVE‑2026‑75960 affecting Rently Smart Home as an Insufficiently Protected Credentials flaw that could allow attackers to retrieve PINs.
CVE-2026-75960 Rently Smart Home versions 20.1.0 and prior are vulnerable to an Insufficiently Protected Credentials vulnerability. This could allow an attacker to retrieve pins inc… https://www.cve.org/CVERecord?id=CVE-2026-75960
Post summary
The text announces CVE-2026-75960, noting an Insufficiently Protected Credentials issue that could let attackers retrieve pins; it provides technical details but no PoC, exploit, patch, or active exploitation information.
تسجيل دخول مقيم واحد لا يجب أن يفتح نطاق وصول على مستوى مجمع سكني كامل. الثغرة CVE-2026-75960 في واجهة Rently API تسلط الضوء على خطر حساس في أنظمة PropTech: ضعف العزل بين حسابات السكان والبيانات أو الأكواد المشتركة مثل master PIN. القيمة التقنية هنا ليست في رمز PIN فقط، بل في تصميم صلاحيات API، والتحقق من نطاق الوصول، ومنع كشف أسرار يمكن أن تؤثر على أكثر من مستخدم أو وحدة سكنية. الأثر العملي واضح: أي منصة تدير وصولاً مادياً للأبواب أو العقارات تحتاج إلى مراجعة دقيقة لـ authorization logic، خصوصاً في بيئات متعددة المستأجرين. كيف يمكن لأنظمة السكن الذكي ضمان tenant isolation دون تعقيد تجربة المستخدم؟ A single resident login should never become a gateway to an entire apartment complex. CVE-2026-75960 in Rently’s API is a useful reminder that access-control flaws in PropTech can move from digital risk to physical security impact very quickly. The technical lesson is about API authorization, tenant isolation, and how shared secrets such as a master PIN are protected from unintended exposure. For platforms managing smart locks or property access, the practical priority is clear: validate object-level permissions, minimize shared credentials, and treat resident scope boundaries as security-critical. What is the safest design pattern for isolating resident access in multi-tenant property systems? https://planckdefense.com/blog/rently-master-pin-idor-cve-2026-75960 #CVE #APISecurity #PropTech
Post summary
The post announces CVE‑2026‑75960, explains the API authorization flaw and its potential physical-security impact, and links to a PoC blog, but does not provide exploitation code, active exploitation evidence, or patch information.
TRC analysis shows attackers exploited CVE-2026-75960 to retrieve Master Pins from Rently Smart Home devices, overriding user permissions across IoT infrastructure. The network-accessible vulnerability demonstrates how credential exposure in connected systems can cascade beyond the initial compromise point. #IoTSecurity 🔗 Full TRC analysis: https://aviatrix.ai/threat-research-center/rently-smart-home-cve-2026-75960-insufficiently-protected-credentials-vulnerability-2026
Post summary
Attackers actively exploited CVE-2026-75960 to retrieve Master Pins and override permissions on Rently Smart Home devices; the analysis details the credential exposure but no patch or exploit code is provided.