Android 用户若正在使用 Microsoft Authenticator，请立即更新应用。安全研究机构 Enclave 披露了一个高危漏洞，允许设备上的任意应用在无需特殊权限、也无需用户交互的情况下，静默接管工作账户的访问权限。
漏洞原理：盲目信任自我声明
在 Android 生态中，Authenticator 不仅用于生成验证码，还充当登录“代理”。当 Teams、Outlook 等微软应用需要登录时，会向 Authenticator 请求令牌（Token）。然而，研究人员 Ofek Levin 发现，Authenticator 的部分组件对设备上所有应用开放，且在发放令牌时，并未核实发起请求应用的真实身份，而是盲目信任应用自我声明的信息。
尽管 Authenticator 会检查请求细节是否与官方应用匹配，但这些信息均为公开数据，极易被伪造。恶意应用只需伪装成“Teams”，即可骗取令牌。虽然 Authenticator 能够识别真正的调用者，但其逻辑中并未利用这一信息进行信任判断。
危害：静默窃取与持久化访问
一旦获取令牌，攻击者可在受害者毫无察觉的情况下执行以下操作：
- 读取并发送邮箱邮件；
- 读取、修改文件、日历及 SharePoint 站点内容；
- 以受害者身份发送 Teams 消息；
- 更改账户登录方式，包括创建或删除通行密钥（Passkeys）。
尤为严重的是，若攻击者将自身的通行密钥添加至账户，即便用户后续卸载了恶意应用，攻击者仍可持续访问账户。该攻击的前提是设备中已存在恶意应用，但整个窃取过程无任何提示或警告。
修复与建议
微软已通过负责任披露渠道确认该问题，并于 2026 年 9 月 8 日发布修复程序。该漏洞编号为 CVE-2026-80097，CVSS 评分高达 8.6。所有版本低于 6.2606.4246 的 Android 版 Microsoft Authenticator 均受影响。
建议用户立即从 Google Play 商店将应用更新至 6.2606.4246 或更高版本。企业管理员应通过移动设备管理（MDM）系统强制执行最低版本要求。此外，用户应始终避免侧载应用或从非可信来源安装不明软件。