Lỗ hổng Authenticator cho phép ứng dụng độc hại lấy token tài khoản công việc
"A vulnerability (CVE-2026-80097) in the Microsoft Authenticator app for Android allowed malicious apps to steal work account tokens without permissions by posing as trusted apps like Teams. Successful exploitation could grant full access to email, files, and calendar. Updating to version 6.2606.4246 or later mitigates the issue."
Lỗ hổng cho phép đánh cắp token xác thực, dẫn đến truy cập trái phép vào tài khoản công việc. Việc giả mạo ứng dụng đáng tin cậy là một điểm yếu nghiêm trọng.
Doanh nghiệp có thể gặp rủi ro mất dữ liệu và gián đoạn hoạt động nếu tài khoản nhân viên bị xâm nhập. Việc cập nhật ứng dụng là cần thiết để giảm thiểu rủi ro.
Microsoft đã vá một lỗ hổng (CVE-2026-80097) trong ứng dụng Authenticator trên Android. Lỗ hổng này cho phép ứng dụng độc hại, không cần quyền, giả mạo ứng dụng đáng tin cậy như Teams để lấy token tài khoản công việc của người dùng.
Với doanh nghiệp Việt Nam sử dụng Authenticator để xác thực đa yếu tố, việc cập nhật lên phiên bản 6.2606.4246 trở lên là cần thiết để ngăn chặn tấn công. Token bị đánh cắp có thể cho phép truy cập đầy đủ vào email, tệp và lịch của người dùng.
Theo nghiên cứu từ Enclave, lỗ hổng nằm ở thành phần AccountChooserActivity. Ứng dụng độc hại có thể khởi động thành phần này và yêu cầu token bằng cách giả mạo ứng dụng khác, ví dụ như Teams. Authenticator không kiểm tra kỹ nguồn gốc yêu cầu, dẫn đến việc cấp token cho ứng dụng giả mạo.
Microsoft cho biết khai thác lỗ hổng cần người dùng hoàn thành quy trình xác thực trong Authenticator. Tuy nhiên, Enclave cho rằng họ có thể lấy token mà không cần tương tác từ người dùng, chỉ cần tài khoản đã đăng nhập. Microsoft đánh giá mức độ nghiêm trọng của lỗ hổng là 8.6/10 (Important).
Microsoft đã phát hành bản vá trong Patch Tuesday tháng 9 năm 2026. Hiện chưa rõ bản vá có hủy bỏ token đã bị đánh cắp hay không. https://therecord.media/microsoft-authenticator-flaw-steal-tokens
Câu hỏi thường gặp
CVE-2026-80097 là gì?
CVE-2026-80097 là mã định danh cho một lỗ hổng bảo mật trong ứng dụng Microsoft Authenticator trên Android. Lỗ hổng này cho phép ứng dụng độc hại lấy cắp token tài khoản công việc.
Phiên bản Authenticator nào đã khắc phục lỗ hổng?
Microsoft đã khắc phục lỗ hổng trong phiên bản Authenticator cho Android 6.2606.4246 trở lên. Người dùng nên cập nhật lên phiên bản này để được bảo vệ.
Token tài khoản công việc bị đánh cắp có thể gây ra hậu quả gì?
Token tài khoản công việc bị đánh cắp có thể cho phép kẻ tấn công truy cập đầy đủ vào email, tệp và lịch của người dùng. Điều này có thể dẫn đến lộ lọt dữ liệu quan trọng.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Microsoft 365. Việc mất token có thể dẫn đến lộ lọt dữ liệu quan trọng. Các tổ chức nên yêu cầu nhân viên cập nhật Authenticator lên phiên bản mới nhất thông qua các công cụ quản lý thiết bị di động (MDM). Điều đáng chú ý là sự khác biệt giữa báo cáo của Microsoft và Enclave về mức độ tương tác của người dùng cần thiết để khai thác lỗ hổng. Doanh nghiệp nên giả định tình huống xấu nhất và chủ động bảo vệ tài khoản.