Chyba v Microsoft Authenticator pre Android mohla vydať pracovné tokeny
Výskumníci z Enclave zverejnili podrobnosti o opravenej chybe v Microsoft Authenticator pre Android. Organizácie majú nasadiť verziu 6.2606.4246 alebo novšiu.
CVE-2026-80097 Authenticator je bezpečnostná chyba v aplikácii Microsoft Authenticator pre Android, ktorej analýzu 23. októbra zverejnila spoločnosť Enclave. Microsoft zraniteľnosť opravil už 8. septembra 2026. Podľa výskumu mohla škodlivá aplikácia nainštalovaná v zariadení získať návratové prihlasovacie tokeny pracovného účtu a použiť ich na prístup k firemným službám.
Microsoft chybu eviduje ako elevation-of-privilege problém s hodnotením CVSS 8,6. Zasiahnuté sú verzie Microsoft Authenticator pre Android staršie než 6.2606.4246. Používatelia a správcovia by preto mali overiť, že majú nasadenú túto alebo novšiu verziu aplikácie.
CVE-2026-80097 Authenticator a princíp útoku
Enclave označil svoj výskum názvom AuthMask. Podľa jeho technického opisu mohla neprivilegovaná aplikácia predstierať nainštalovanú aplikáciu Microsoftu. Následne mala od Authenticatora dostať návratové tokeny určené pre prihlasovací tok.
Útok nebol vzdialeným napadnutím ľubovoľného používateľa. Predpokladal, že škodlivá aplikácia už je v Android zariadení nainštalovaná a že používateľ má v Authenticatori prihlásený pracovný účet. Práve tieto účty, používané napríklad v prostredí Microsoft 365, sú jadrom uvádzaného rizika.
Výskumníci uvádzajú, že získané tokeny mohli byť použiteľné na prístup k podnikovým dátam a službám. Authenticator v tomto prípade vystupuje ako prihlasovací broker medzi účtom a aplikáciami, preto mohla chyba narušiť dôveru v identitu aplikácie bez toho, aby škodlivý program potreboval citlivé oprávnenia Androidu.
Čo je potvrdené a čo zostáva nejasné
Potvrdené je vydanie opravy a verzia, od ktorej je Microsoft Authenticator pre Android podľa dostupných podkladov chránený: 6.2606.4246. Microsoft vo svojom zázname označuje problém ako zvyšovanie oprávnení a priraďuje mu CVSS 8,6.
Niektoré technické detaily vychádzajú predovšetkým z testov Enclave. Týka sa to konkrétneho rozsahu oprávnení získaných tokenov aj tvrdení o možnej manipulácii s passkeys. Obsah oficiálneho advisory Microsoftu sa cez dostupné rozhranie nepodarilo obsahovo načítať, preto tieto časti nemožno nezávisle porovnať s podrobným stanoviskom výrobcu.
Nejasná je aj presná požiadavka na interakciu používateľa. Enclave uvádza scenár, v ktorom po nainštalovaní škodlivej aplikácie nemusela byť potrebná ďalšia interakcia. Sekundárne zdroje však citujú klasifikáciu Microsoftu, podľa ktorej sa interakcia používateľa vyžaduje. Poskytnuté materiály zároveň nepotvrdzujú zneužitie CVE-2026-80097 vo voľnej prírode.
Čo majú správcovia urobiť
V organizáciách, ktoré používajú Microsoft Authenticator na Android zariadeniach, je praktickým krokom vynútiť cez MDM minimálne verziu 6.2606.4246 alebo novšiu. Správcovia by mali zároveň identifikovať zariadenia s neaktuálnou aplikáciou a aktualizáciu overiť najmä pri používateľoch s pracovnými účtami Microsoft 365.
Ďalší vývoj bude závisieť od prípadných doplnení Microsoftu alebo CISA. Relevantné bude najmä potvrdenie, či bola chyba zneužitá v reálnych útokoch, a podrobnejšie vysvetlenie opravy vrátane podmienok interakcie používateľa.
Zdroje
- Microsoft Security Response Center – Oficiálny záznam Microsoftu pre CVE-2026-80097; stránka bola dostupná, ale jej obsah vyžadoval JavaScript.
- Enclave – Technický opis výskumu, podmienky útoku, testované rozsahy tokenov, dátum zverejnenia a zasiahnuté verzie.
- Help Net Security – Nezávislé zhrnutie dopadu, identifikátora CVE, hodnotenia CVSS a opravenej verzie.
Overené a aktualizované: 27. 10. 2026 15:26
