微软的身份验证工具 Microsoft Authenticator 被发现存在一个高危漏洞（CVE-2026-80097），CVSS 评分为 8.6 分。
攻击者只需要诱导用户安装一个恶意安卓应用，即使这个 App 没有申请任何系统权限，也可能窃取用户已经登录的微软账户令牌。
感谢小熊猫在安全情报下的分享。
10 月 23 日，安全研究机构 Enclave 公开了一项名为 AuthMask 的攻击研究，揭示了安卓版 Microsoft Authenticator 身份验证器的一个高危漏洞，该漏洞早在 2026 年 9 月 8 日就已由微软公开并修复，CVSS 评分为 8.6 分。
恶意 App 无需权限，就能骗取账户令牌
正常情况下，Microsoft Authenticator 负责保护用户的微软账户，包括登录验证和身份认证。
但研究人员发现，恶意 App 可以冒充 Microsoft Teams 等微软官方应用，欺骗 Authenticator 向其提供账户访问令牌。
整个过程大致是：
- 用户安装了一个恶意 Android App。
- 恶意 App 冒充微软官方应用。
- Authenticator 错误地向它提供账户令牌。
- 攻击者利用令牌访问 Outlook 邮件、OneDrive 文件等服务。
整个攻击过程中，恶意 App 不需要申请任何敏感系统权限。 在研究人员演示的条件下，获取令牌时也不需要用户再次确认。
不过，攻击有一个重要前提：用户需要先安装恶意 App。 仅仅使用 Microsoft Authenticator，并不会自动导致账户被盗。
微软已修复该漏洞，安卓用户建议更新
该漏洞影响 Android 版 Microsoft Authenticator，微软已在 6.2606.4246 版本中修复。
iOS 版 Microsoft Authenticator 不受影响。
相关链接：
原文：
青小蛙经常使用 Microsoft Authenticator 登录微软账号一直无法输入任何密码，非常方便 😭
这篇文章对你有帮助吗？