CVE-2026-111494: falla TLS nell'app Android MatchPoint, come verificare e mitigare

CVE-2026-111494 riguarda l'app Android MatchPoint: il codice accetta qualsiasi certificato TLS, non controlla il nome host del server e permette traffico HTTP non cifrato. Chi riesce a mettersi tra il telefono e internet, per esempio su una rete Wi-Fi pubblica, può leggere e modificare i dati scambiati, incluse credenziali e dati personali. Il punteggio CVSS 4.0 è 9.1, gravità critica. Non risulta sfruttamento attivo nel catalogo CISA KEV. Qui spiego chi è coinvolto, come verificare e cosa fare nel frattempo.

Cosa è successo: la vulnerabilità CVE-2026-111494 in MatchPoint

La descrizione ufficiale parla di validazione errata dei certificati TLS nell'app Android MatchPoint. Due componenti sono in causa: un TrustManager che accetta qualsiasi certificato, anche autofirmato o emesso per un altro dominio, e un validatore di hostname permissivo, che non verifica che il certificato presentato corrisponda al server contattato. In più l'app consente traffico HTTP in chiaro. In pratica la cifratura c'è sulla carta, ma chiunque possa intercettare la connessione può sostituirsi al server legittimo senza che l'app se ne accorga. È il classico scenario di attacco man in the middle.

Chi è colpito: versioni vulnerabili di MatchPoint

Le versioni specifiche interessate non sono indicate nelle informazioni disponibili e vanno verificate sull'advisory del produttore e sulla scheda NVD dell'identificativo. Fino a conferma contraria, considero esposte tutte le installazioni dell'app Android MatchPoint presenti sui dispositivi aziendali e personali. Sono coinvolti in particolare:

• dipendenti e collaboratori che usano l'app su smartphone aziendali o in modalità BYOD;
• chi si collega da reti non controllate: Wi-Fi di hotel, aeroporti, bar, coworking;
• chi usa le stesse credenziali dell'app anche per altri servizi aziendali.

La vulnerabilità non riguarda il server di MatchPoint in sé, ma il modo in cui l'app dialoga con qualunque server. Per questo nessuna configurazione lato server la risolve.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore è CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N. Tradotto:

• AV:N: attacco via rete, senza accesso fisico al telefono;
• AC:H e AT:P: l'attaccante deve soddisfare una condizione, cioè trovarsi in posizione di intercettare il traffico (rete Wi-Fi ostile, access point falso, router compromesso);
• PR:N e UI:N: nessun privilegio e nessuna azione della vittima richiesti;
• VC:H e VI:H: impatto alto su riservatezza e integrità, nessun impatto sulla disponibilità.

Cosa ottiene chi sfrutta la falla: lettura di credenziali e dati personali in transito, possibilità di alterare richieste e risposte, quindi di manipolare ciò che l'utente vede o invia. Non si tratta di esecuzione di codice remoto sul telefono, ma di esfiltrazione e manomissione dei dati. Al momento CVE-2026-111494 non compare nel catalogo CISA KEV: non ci sono conferme pubbliche di sfruttamento attivo, ma gli strumenti per questo tipo di intercettazione sono comuni e poco costosi.

Come capire se sei esposto: verifica versione, esposizione e log

Versione installata

Su Android: Impostazioni, App, MatchPoint, poi la voce con il numero di versione in fondo alla scheda. Confrontalo con quanto riportato sull'advisory ufficiale. Se gestisci una flotta con MDM (Intune, Google Endpoint Management o simili), estrai l'inventario delle app e filtra per MatchPoint.

Esposizione reale

Il rischio dipende da dove si connette il telefono. Chiedi a chi usa l'app se accede da Wi-Fi pubblici o da reti non gestite dall'azienda. Un controllo tecnico, da fare solo su un dispositivo di test e con un proxy di intercettazione come mitmproxy configurato sulla propria rete, permette di confermare se l'app accetta un certificato arbitrario e se trasmette in HTTP: è il modo più rapido per verificare che la versione in uso sia effettivamente affetta.

Indicatori di compromissione

Un'app mobile produce pochi log utili. Guardo altrove:

• sul dispositivo: Impostazioni, Sicurezza, Credenziali attendibili, per verificare che non siano stati installati certificati utente sconosciuti; profili o app VPN non autorizzati;
• sui servizi aziendali: accessi con le stesse credenziali da indirizzi IP o Paesi insoliti, cambi password non richiesti, nuove sessioni attive;
• sulla rete aziendale: access point con SSID simile al tuo che non hai configurato tu.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

La disponibilità di una versione corretta dell'app non è indicata nelle informazioni pubbliche e va verificata sull'advisory del produttore e sulla scheda GitHub Security Advisories collegata all'identificativo. Il rimedio definitivo dovrà correggere i tre punti: un TrustManager che valida la catena di certificati, un HostnameVerifier che controlla la corrispondenza con il dominio e la disabilitazione del traffico in chiaro nella configurazione di sicurezza di rete dell'app. Se e quando l'aggiornamento è disponibile, va applicato da Google Play o dal canale di distribuzione aziendale, controllando poi che il numero di versione sia cambiato. Se non è ancora disponibile, restano solo le mitigazioni della sezione successiva.

Cosa fare subito: mitigazioni e hardening

1. Limita l'uso dell'app a reti fidate. Niente Wi-Fi pubblici. Rete mobile o Wi-Fi aziendale con WPA2/WPA3 e password robusta.
2. VPN sempre attiva sui dispositivi aziendali. Con una VPN il traffico dell'app passa cifrato in un tunnel fino alla tua rete, e l'intercettazione locale perde efficacia. Ho spiegato come impostarla in modo pratico nell'articolo su WireGuard per le PMI.
3. Se l'app non è indispensabile, sospendila fino all'aggiornamento, tramite MDM o chiedendo di non usarla fuori sede.
4. Cambia le credenziali usate nell'app dopo l'aggiornamento, e subito se sono condivise con altri servizi. Attiva l'autenticazione a due fattori dove possibile.
5. Separa le credenziali. Una password unica per ogni servizio limita i danni di una singola intercettazione.
6. Segmenta la rete Wi-Fi aziendale. Ospiti e dispositivi personali su una VLAN distinta dai sistemi interni.

Se sospetti una compromissione: incident response e analisi forense

Se un dipendente segnala accessi anomali o se trovi certificati sconosciuti sul telefono, non resettare il dispositivo e non disinstallare l'app: perderesti le tracce. Mettilo in modalità aereo, conserva gli estremi della rete usata (SSID, luogo, orario) e raccogli i log dei servizi a cui quelle credenziali davano accesso. Da perito informatico forense eseguo l'acquisizione forense dello smartphone con metodo ripetibile, verifico la presenza di certificati o profili malevoli e ricostruisco gli accessi lato server. Se sono coinvolti dati personali, valuta con il DPO la notifica al Garante entro i termini previsti dal GDPR. Un intervento di incident response, secondo il listino, va da 1.500 a 6.000 € a prezzo fisso concordato prima; trovi i dettagli nella pagina dei servizi dello studio.

Fonti ufficiali

Le informazioni di questo articolo derivano dalla scheda NVD di CVE-2026-111494, dal catalogo CISA Known Exploited Vulnerabilities (dove l'identificativo al momento non compare) e dalle GitHub Security Advisories. Prima di decidere, controlla sull'advisory del produttore di MatchPoint le versioni interessate e l'eventuale aggiornamento disponibile, perché questi dati possono cambiare rapidamente.

Serve una mano a verificare i dispositivi aziendali?

Se hai una flotta di smartphone con app di terze parti e vuoi capire quali espongono le credenziali dei tuoi collaboratori, posso fare un controllo mirato e proporti le contromisure adatte alla tua rete. Chiedi un preventivo gratuito: rispondo entro 24 ore. Per un'urgenza o un sospetto di intercettazione in corso, scrivimi direttamente dalla pagina contatti, anche su WhatsApp.