ช่องโหว่ Microsoft Authenticator บน Android เสี่ยงถูกแอปอันตรายขโมย Token บัญชีองค์กร

นักวิจัยเปิดเผยรายละเอียดช่องโหว่ CVE-2026-80097 ใน Microsoft Authenticator สำหรับ Android ซึ่งเป็นช่องโหว่ประเภท Improper Authentication คะแนน CVSS v3.1 : 8.6 ระดับ High และ Microsoft จัดระดับความรุนแรงเป็น Important โดยอาจเปิดโอกาสให้แอปอันตรายบนอุปกรณ์แอบอ้างเป็นแอปของ Microsoft เช่น Teams เพื่อขอ Token ของบัญชีองค์กรที่ลงชื่อเข้าใช้อยู่ใน Authenticator และนำไปเข้าถึงทรัพยากรของผู้ใช้ได้

ช่องโหว่เกิดจาก Authenticator มีส่วนประกอบ AccountChooserActivity ที่แอปอื่นบนอุปกรณ์สามารถเรียกใช้งานได้ โดยกระบวนการตรวจสอบอาศัยข้อมูลของแอปที่ถูกอ้างว่าเป็นผู้ร้องขอ แต่ไม่ได้นำข้อมูลระบุตัวตนของแอปที่ส่งคำขอจริงมาใช้ในการตัดสินใจอนุญาต Token ทำให้แอปอันตรายสามารถแอบอ้างเป็นแอป Microsoft ที่ติดตั้งอยู่บนอุปกรณ์ได้ ในการทดสอบ นักวิจัยสามารถรับ Access Token สำหรับ Microsoft Graph ที่มีสิทธิ์เข้าถึงอีเมล ไฟล์ และปฏิทินของบัญชีองค์กร โดย Microsoft ระบุว่าการโจมตีต้องมีแอปอันตรายติดตั้งอยู่บนอุปกรณ์และผู้ใช้ต้องดำเนินขั้นตอนการยืนยันตัวตนใน Authenticator ขณะที่นักวิจัยรายงานว่า Proof-of-Concept (PoC) สามารถรับ Token ได้โดยผู้ใช้ไม่ต้องดำเนินการเพิ่มเติม หากมีบัญชีองค์กรลงชื่อเข้าใช้อยู่ใน Authenticator แล้ว

ผู้ใช้งาน Microsoft Authenticator บน Android ควรตรวจสอบและอัปเดตเป็นเวอร์ชัน 6.2606.4246 หรือใหม่กว่า โดยเร็ว และหลีกเลี่ยงการติดตั้งแอปจากแหล่งที่ไม่น่าเชื่อถือ สำหรับองค์กรที่บริหารอุปกรณ์ Android ควรกำหนดเวอร์ชันขั้นต่ำของ Authenticator ผ่านระบบ Mobile Device Management (MDM) และตรวจสอบแอปที่ติดตั้งบนอุปกรณ์ ทั้งนี้ Microsoft ระบุว่ายังไม่พบการใช้ช่องโหว่โจมตีจริง

แหล่งข่าว : https://thehackernews.com/2026/10/microsoft-authenticator-flaw-let.html