In Microsofts Authenticator können Angreifer eine kritische Sicherheitslücke missbrauchen, um an Sign-in-Tokens zu gelangen. Damit gelingt der unbefugte Zugriff auf Ressourcen. Aktualisierte Apps stehen bereit.
Der Schwachstelleneintrag von Microsoft erörtert das Problem grob. Sensible Informationen können demnach an unbefugte Akteure gelangen, da Microsoft Authenticator Informationen an Angreifer über das Netzwerk preisgibt. In der FAQ erklärt Microsoft, dass die Schwachstelle das Sign-in-Token zum Arbeitskonto von Nutzerinnen und Nutzern offenlegen kann. Damit erlangen Unbefugte Zugriff auf Daten und Diensten, auf die das Benutzerkonto zugreifen darf, darunter potenziell auch sensible Unternehmensinformationen.
Zum Missbrauch der Lücke müssen Angreifer ein Opfer dazu bringen, mit einer legitim erscheinenden, bösartigen Anfrage zu interagieren. Sobald Nutzer die Anfrage bestätigen, können Angreifer die App dazu bringen, Zugriffstoken im Namen der Nutzer anzufordern, um sie an einen Dienst auszuliefern, der unter der Kontrolle der Angreifer steht. Betroffene erhalten keine klaren Informationen, welcher Zugriff gewährt wurde (CVE-2026-41615, CVSS 9.6, Risiko „kritisch“). Das NIST kommt im NVD-Listeneintrag jedoch mit CVSS 7.4 lediglich auf das Risiko „hoch“.
