MatchPointに脆弱性7件、アプリを最新版へ更新
スポーツ施設管理プラットフォームMatchPointに、認証なしでAPIを使われ得る重大なものを含む脆弱性7件が公表されました。利用する事業者はアプリを最新版に更新し、サーバー側修正の適用状況を提供元に確認してください。
同じ発表の脆弱性 3 件
- CVE-2026-111489 重大 9.9
- CVE-2026-111490 重大 9.9
- CVE-2026-111494 重大 9.1
急ぎ度: 早めに
CVSS v4が9.9の脆弱性が2件あり、ネットワーク越しに認証なしで悪用され得ますが、実際の悪用は確認されておらず、サーバー側の修正は一部展開済みで、アプリは最新版が出ています。
関係があるか
TPC SoftwareのMatchPointで施設の予約や会員管理を行っている事業者と、そのモバイルアプリを使っている会員が対象です。国内でこの製品を使う組織は多くないとみられますが、海外拠点や関連会社が使っていないかは確認する価値があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| TPC Software Matchpoint（プラットフォームとモバイルアプリ） | 最新版より前の版（CVEの記録の表記）。7件のうち、アプリ側の脆弱性は端末にある版が古いと影響を受けます。 | 最新版のMatchPointアプリ。サーバー側の修正（IDORと画像取得の2件）は適用済みで、アプリの版に関係なく効きます。 |
確かめ方
- 1自社や関連会社がMatchPointを契約・利用しているか、情シスと施設運営の担当部署に確認する。
- 2会員や従業員が使うAndroidアプリの版が、ストアに出ている最新版かどうかを確かめる。MDMで配布している場合は、配布している版を見直す。
- 3MatchPointの提供元に、サーバー側の修正が自社の環境に適用済みかを問い合わせる。
何が起きたか
MatchPointは、スポーツ施設の予約や会員情報を扱う管理プラットフォームです。モバイルアプリとAPIの認証・認可の確認が不十分で、外部の第三者が他人のデータやアカウントに触れ得る脆弱性が見つかりました。INCIBEが調整して公表し、発見者はSergi García Tárragaです。
2件が最も重く、どちらもCVSS v4は9.9です。
- CVE-2026-111489: アプリに埋め込まれた固定の認証情報から、APIを認証なしで使えるトークンが返される（CVSS v4は9.9、CWE-798）
- CVE-2026-111490: APIが、指定された利用者に対する要求者の権限を確認しないため、個人情報や銀行・金融情報、非公開メッセージ、施設入場用のQRコードなどにアクセスできる。他人のアカウント変更、パスワード変更、なりすまし、仮想残高の移動も可能（CVSS v4は9.9、CWE-639）
INCIBEの公表は全部で7件で、重大3件、高2件、中2件です。残る5件は、アプリ内の資格情報の平文保存（CVE-2026-111491、6.9）、プッシュ通知処理のSQLインジェクション（CVE-2026-111492、8.6）、画像取得エンドポイントの認証欠如（CVE-2026-111493、8.7）、TLS証明書の検証不備と暗号化なし通信の許可（CVE-2026-111494、9.1）、APKに含まれる設定情報の露出（CVE-2026-111495、5.1）です。いずれもCVSS v4の値です。
実際の悪用は確認されていないと、INCIBEの一覧に記載されています。
攻撃の流れ
-
1
認証情報の入手
配布されているアプリに埋め込まれた固定の認証情報が出発点になります。
-
2
トークンの取得
その認証情報により、APIを認証なしで使えるトークンが返されます。
-
3
APIへの到達
利用者ごとの権限確認がないAPIに、ネットワーク越しに届きます。
-
4
他人の情報に接触
個人・金融情報の閲覧、アカウント変更、仮想残高の移動、QRコードの取得につながります。
どう悪用されるか
最も重い2件は、ネットワーク越しに、事前の認証も利用者の操作も要りません。CVE-2026-111489は、アプリに含まれる固定の認証情報を起点に、認証なしのAPI利用が成立します。CVE-2026-111490は、CVSSのベクトル上、権限なしで悪用できる条件です。攻撃の難易度は低いと評価されています。
ほかの脆弱性は条件が違います。端末内のデータが前提のものが3件（111491、111492、111495）、通信の傍受が前提のものが1件（111494）あり、画像取得の1件（111493）は遠隔から認証なしで悪用できます。
悪用されると、会員の個人情報、銀行・金融情報、非公開メッセージが読まれる恐れがあります。施設入場用のQRコードの取得、アカウントの書き換え、パスワード変更、なりすまし、仮想残高の移動も起こり得ます。CVE-2026-111489については、トークンでAPIサービスにアクセスされると報告されています。
今すぐやること
-
1
アプリを最新版に更新する
MatchPointのAndroidアプリを、会員の端末も含めて最新版に更新します。アプリ側の脆弱性は、サーバー側の修正だけでは解消しません。MDMで配布している場合は、配布する版を最新版に差し替えます。
-
2
サーバー側修正の適用を提供元に確認する
CVE-2026-111490とCVE-2026-111493のサーバー側の修正は展開済みで、アプリの版に関係なく適用されます。自社の環境に反映されているか、MatchPointの提供元に確認します。
-
3
不審な操作の跡を確かめる
修正前に悪用された可能性を考え、身に覚えのないパスワード変更、アカウント情報の変更、仮想残高の移動、QRコードの不審な利用がないかを、運営側の記録と会員からの問い合わせで調べます。
-
4
パスワードの扱いを見直す
端末内に資格情報が平文で保存される脆弱性があったため、不審な動きが見つかったアカウントや、ほかのサービスと同じパスワードを使っている会員には、変更を案内します。
-
5
最新版の版番号と詳細を確かめる
更新後の版番号や修正の詳細は、TPC Softwareの告知とINCIBE-CERTの公表ページで確認します。
すぐ更新できないとき
アプリを更新するまでのつなぎとして、公共のWi-Fiなど信頼できない回線でのアプリ利用を避け、ほかのサービスと同じパスワードを使っている場合は変更しておくと、通信の傍受や資格情報の流用による被害を減らせます。脆弱性そのものを防ぐ手段は、サーバー側の修正と最新版への更新です。
背景
MatchPointは、施設の予約、会員アカウント、仮想残高、物理的な入場に使うQRコードまでを1つのアプリとAPIでまとめて扱う管理プラットフォームです。API側の権限確認に穴があると、画面の不具合では済まず、会員の金融情報や施設への入場手段にまで影響が及ぶ点が、この製品の特徴です。
今回の7件には、アプリに秘密情報を埋め込む、利用者ごとの権限を確認しない、TLS証明書を検証しないといった、モバイルアプリとAPIの組み合わせで起きやすい不備が並びます。利用者ごとのデータへのアクセス制御の不備は、API関連の脆弱性として広く知られた類型です。最も重い2件は、この類型と固定の認証情報の組み合わせです。
よくある質問
Q.施設の会員として使っているだけの個人は、何をすればよいですか。
まだ分かっていないこと
- 最新版の具体的な版番号は、INCIBEの公表とCVEの記録に書かれていません。
- サーバー側の修正が展開される前に、実際に悪用された形跡があったかどうかは示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A static credential embedded in the mobile app has been reported to return the 'autorizado' token on the MatchPoint platform. The report states that this token grants unauthenticated access to API services.
出典: CVE.org (CVE Program・cvelistV5) NVD