Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Luka w Microsoft Authenticator na Androida oddawała obcym aplikacjom tokeny konta

Przez lukę CVE-2026-80097 w Microsoft Authenticator na Androida dowolna aplikacja w telefonie mogła po cichu przejąć konto służbowe. Poprawka jest w wersji 6.2606.4246.

Karta wpisu: Luka w Microsoft Authenticator na Androida oddawała obcym aplikacjom tokeny konta

Microsoft załatał lukę CVE-2026-80097 (CVSS 8.6) w aplikacji Authenticator na Androida. Przez tę lukę dowolna aplikacja w telefonie mogła przejąć dostęp do konta służbowego. Poprawka jest w wersji 6.2606.4246.

Na Androidzie Authenticator pośredniczy w logowaniu: gdy Teams albo Outlook potrzebują dostępu, dostają od niego token potwierdzający zalogowanie. Ofek Levin z firmy Enclave wykazał, że Authenticator nie sprawdzał, która aplikacja naprawdę prosi o token. Wierzył temu, jak aplikacja sama się przedstawia. Złośliwa aplikacja podająca się za Teams dostawała więc tokeny Teams bez żadnych uprawnień i bez jednego dotknięcia ekranu przez użytkownika. Jeśli atakujący doda do konta własny klucz dostępu (passkey), zachowa dostęp także po usunięciu złośliwej aplikacji. Do ataku potrzebna jest jednak złośliwa aplikacja zainstalowana na telefonie.

Kogo dotyczy

Luka dotyczy wszystkich wersji Microsoft Authenticator na Androida starszych niż 6.2606.4246, a więc osób, które logują się nią do kont służbowych Microsoft.

Co zrobić

Zaktualizuj Microsoft Authenticator na Androidzie do wersji 6.2606.4246 lub nowszej. Microsoft opublikował poprawkę 8 września 2026 roku.

TAB. 2

Źródła

1
Help Net Security — Microsoft Authenticator vulnerability let rogue Android apps steal work account accesshelpnetsecurity.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com