Microsoft Authenticator 漏洞 零權限 app 可偷工作郵件

Microsoft Authenticator 漏洞讓無權限 app 取走工作帳戶憑證

據資安公司 Enclave 研究員 Ofek Levin 2026 年 10 月 23 日發表的報告，Android 版 Microsoft Authenticator 有一個漏洞，令一個沒有申請任何系統權限的 app，可以冒認 Teams 等 Microsoft 自家 app，要求 Authenticator 交出工作帳戶的登入憑證（token，即毋須再輸入密碼便可進入帳戶的電子通行證）。Microsoft 已修補漏洞，編號 CVE-2026-80097，6.2606.4246 之前的版本受影響。

漏洞源於 Authenticator 沒有核實來電 app 的身份

Enclave 指，問題出在 Authenticator 一個對手機上所有 app 開放的登入介面。介面只檢查請求來自另一個 app，而來電者聲稱的身份、app 名稱和要求的權限範圍，全部由來電者自己填寫。Authenticator 雖然會做簽名核對，但核對的是「被冒認的 app」在手機上的真簽名，只要 Teams 裝在同一部手機，檢查必然通過。Enclave 形容，Authenticator 其實知道真正的來電者是誰，但從未用這個資料判斷是否可信。

冒認 Teams 可讀寫郵件、檔案和日曆

Enclave 在測試中冒認了三個 app，Authenticator 都以明文交回憑證：

Enclave 指，條件只是手機裝了 Authenticator 並登入一個工作帳戶，除此之外毋須用戶做任何操作。

Microsoft 評為「重要」級別 未見被利用

Microsoft 安全更新指南顯示，漏洞於 2026 年 9 月 8 日公布，屬權限提升類別，嚴重程度為「重要」，CVSS 評分（0 至 10 分的漏洞嚴重程度指標）8.6。Microsoft 列明漏洞公布前未被公開，亦未發現被利用，並評估被利用的機會較低。與 Enclave 的說法不同，Microsoft 的說明指攻擊者要先令用戶安裝惡意 app，再說服用戶在 Authenticator 完成一次登入程序。Enclave 呼籲 Android 用戶盡快更新 Authenticator，Microsoft 的更新經 Google Play 發佈。

來源

• AuthMask: We Made Microsoft Authenticator Hand Over Tokens to an App With Zero Permissions（Enclave，原始研究）
• CVE-2026-80097 Microsoft Authenticator Elevation of Privilege Vulnerability（原始文件）
• CVE Record: CVE-2026-80097（CVE.org）