微软身份验证器 Authenticator 曝高危漏洞：恶意 App 无需权限就能窃取账户令牌
内容提要
微软安卓版Authenticator存在高危漏洞CVE-2026-80097（CVSS 8.6）。恶意安卓应用无需系统权限即可冒充Teams等微软官方应用，诱骗Authenticator交出账户令牌，进而访问Outlook、OneDrive等服务，且获取令牌时无需用户确认，前提是用户已安装恶意应用。微软已在6.2606.4246版本修复，iOS版不受影响，建议安卓用户尽快更新。
延伸解读
漏洞的关键在于“冒充”而非权限
文章指出，恶意应用无需申请任何系统权限，就能冒充Teams等微软官方应用，诱骗Authenticator交出账户令牌。这说明风险点不在安卓权限机制本身，而在于Authenticator对调用方身份的校验存在缺陷。读者应理解：即使安装应用时没有看到敏感权限提示，也不代表该应用无法借助其他应用的信任关系窃取数据。
攻击成立有明确前提，不必过度恐慌
文章强调，攻击的重要前提是用户先安装恶意安卓应用；仅使用Authenticator并不会自动导致账户被盗。在研究人员演示的条件下，获取令牌时也不需要用户再次确认。这意味着防护重点应放在应用来源审核上，避免从非官方渠道安装不明应用，而不是因为该漏洞就放弃使用身份验证器。
修复范围有限，安卓用户应尽快更新
该漏洞影响安卓版Microsoft Authenticator，微软已在6.2606.4246版本中修复，iOS版不受影响。文章提到漏洞早在2026年9月8日就已由微软公开并修复，CVSS评分为8.6分。对安卓用户而言，最直接的行动是确认应用已更新到该版本或更高版本，以消除这一攻击路径。
Q&A
微软Authenticator的CVE-2026-80097漏洞具体是什么？
这是一个高危漏洞，CVSS评分为8.6，影响安卓版Microsoft Authenticator。恶意应用无需任何系统权限即可冒充微软官方应用（如Teams），诱骗Authenticator交出账户令牌，从而访问Outlook、OneDrive等服务。
攻击者是如何利用这个漏洞窃取账户令牌的？
攻击者诱导用户安装恶意安卓应用，该应用冒充微软官方应用（如Teams），欺骗Authenticator向其提供账户访问令牌。整个过程恶意应用无需申请敏感权限，且在演示条件下获取令牌时无需用户确认。
这个漏洞影响哪些用户？iOS用户会受影响吗？
该漏洞仅影响安卓版Microsoft Authenticator用户，iOS版不受影响。但攻击前提是用户已安装恶意应用，仅使用Authenticator不会自动导致账户被盗。
微软是否已修复该漏洞？用户应该如何应对？
微软已在2026年9月8日公开并修复该漏洞，修复版本为6.2606.4246。建议安卓用户尽快更新Authenticator至该版本或更高版本。
攻击者获取令牌后能做什么？
攻击者可以利用窃取的账户令牌访问用户的Outlook邮件、OneDrive文件等微软服务，可能导致数据泄露。
这个漏洞是谁发现的？CVSS评分是多少？
该漏洞由安全研究机构Enclave发现并公开，攻击研究名为AuthMask。CVSS评分为8.6，属于高危漏洞。
