פגם ב-Microsoft Authenticator ב-Android איפשר לאפליקציות זדוניות לגנוב גישה לחשבון עבודה

חוקרים ב-Enclave מצאו פגם ב-Microsoft Authenticator עבור Android שאיפשר לכל אפליקציה בטלפון להשתלט בשקט על חשבון עבודה. לאפליקציה לא דרושות הרשאות, והמשתמש אינו צריך להקיש על דבר. Microsoft תיקנה את הבעיה, שסומנה כ-CVE-2026-80097.

כיצד הפגם עבד

ב-Android, Authenticator פועל כמתווך עבור אפליקציות Microsoft כגון Teams ו-Outlook. כאשר אפליקציה צריכה כניסה, היא מבקשת מ-Authenticator אסימון, ו-Authenticator אמור לבדוק בקפידה איזו אפליקציה מבקשת. החוקר Ofek Levin מצא שחלק אחד ב-Authenticator ניתן לפתיחה על ידי כל אפליקציה, והוא סמך על מה שהאפליקציה אמרה על עצמה במקום לאמת את הקורא. Authenticator גם הפעיל בדיקה, אך ניתן היה לזייף אותה כיוון שכל אפליקציה יכולה לקרוא את הפרטים שהשוותה.

מה תוקפים יכלו לעשות

עם חשבון עבודה אחד מחובר ב-Authenticator, אפליקציית בדיקה קיבלה אסימונים שיכולים לקרוא ולשלוח דוא"ל, לקרוא ולשנות קבצים, רשומות יומן ואתרי SharePoint, ולשלוח הודעות Teams בשם הקורבן. בהתחזות ל-Authenticator עצמו, תוקף יכול היה גם לשנות את שיטות הכניסה של החשבון, כולל יצירה ומחיקה של passkeys. תוקף שמוסיף passkey יכול לשמור על גישה גם לאחר הסרת האפליקציה הזדונית. ההתקפה עדיין דרשה אפליקציה זדונית במכשיר, ולכן היה צריך להטעות מישהו כדי להתקינה, אך הגניבה התבצעה בשקט לאחר שהתרחשה.

גרסאות מתוקנות והמלצות

Enclave דיווחה על הפגם ל-Microsoft באמצעות חשיפה אחראית. Microsoft אישרה זאת ושחררה תיקון שפורסם ב-8 בספטמבר 2026, עם ציון CVSS של 8.6. כל הגרסאות של Authenticator עבור Android שקודמות ל-6.2606.4246 מושפעות. משתמשים צריכים לעדכן דרך Google Play Store ולבדוק שהם בגרסה 6.2606.4246 או מאוחרת יותר. ארגונים שמנהלים מכשירי חברה צריכים לוודא ש-MDM שלהם אוכף את הגרסה המינימלית הזו. משתמשים צריכים גם להיזהר מ-sideloading של אפליקציות או מהתקנת אפליקציות לא מוכרות מחוץ לחנויות מהימנות.

מקורות: Help Net Security · Techmeme