สรุปสั้น

บน Android แอป Microsoft Authenticator ไม่ได้แค่แสดงรหัส 6 หลัก แต่ยังทำหน้าที่เป็นตัวกลางยืนยันตัวตน (authentication broker) เมื่อ Teams, Outlook หรือแอปอื่นของ Microsoft ต้องการให้ผู้ใช้ล็อกอิน แอปจะขอโทเค็นจาก Authenticator ซึ่งเป็นเหมือนบัตรผ่านที่พิสูจน์ว่าผู้ใช้ล็อกอินแล้ว บริษัท Microsoft แก้ช่องโหว่ CVE-2026-80097 ที่ทำให้แอปอันตรายซึ่งไม่ขอสิทธิ์ใดเลยบนเครื่องสามารถอ้างตัวเป็น Teams แล้วรับโทเค็นของบัญชีงานที่ล็อกอินอยู่ใน Authenticator ไปได้ นาย Ofek Levin นักวิจัยในโครงการของบริษัท Enclave เป็นผู้ค้นพบและเผยแพร่รายละเอียดเมื่อวันที่ 23 ตุลาคม 2569

ในการทดสอบของ Enclave โทเค็นที่ได้ให้สิทธิ์อ่านและส่งอีเมล อ่านและเขียนไฟล์ และอ่านเขียนปฏิทินของบัญชีงาน Microsoft ให้คะแนน CVSS 8.6 ระดับ Important ระบุว่ายังไม่มีการโจมตีจริง และแก้แล้วในรอบ Patch Tuesday เดือนกันยายน 2569 แต่ทั้งสองฝ่ายเห็นไม่ตรงกันว่าผู้ใช้ต้องโต้ตอบหรือไม่ ผู้ใช้ Authenticator บน Android ควรเช็กว่าอัปเดตเป็นเวอร์ชัน 6.2606.4246 ขึ้นไปแล้ว และองค์กรควรบังคับเวอร์ชันขั้นต่ำผ่าน MDM

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่าบริษัท Microsoft แก้ช่องโหว่ใน Microsoft Authenticator สำหรับ Android ที่เปิดให้แอปอันตรายสวมรอยเป็นแอปของ Microsoft แล้วเก็บโทเค็นล็อกอินของบัญชีงาน ช่องโหว่ได้รหัส CVE-2026-80097 และแก้แล้วใน Authenticator for Android เวอร์ชัน 6.2606.4246

ด้านไทม์ไลน์ Microsoft ออกรหัส CVE เมื่อวันที่ 8 กันยายน 2569 และรวมการแก้ไว้ในรอบ Patch Tuesday เดือนกันยายน 2569 ช่องโหว่นี้ไม่ใช่หนึ่งในสองช่องโหว่ Windows ที่ถูกระบุว่าถูกโจมตีแล้วในเดือนนั้น ต่อมาวันที่ 23 ตุลาคม 2569 บริษัท Enclave เผยแพร่รายละเอียดทางเทคนิคในชื่อ AuthMask

ส่วนสถานะการโจมตี Microsoft ระบุว่าช่องโหว่ไม่ได้ถูกเปิดเผยต่อสาธารณะก่อนแก้ ไม่ได้ถูกใช้โจมตี และประเมินโอกาสถูกโจมตีว่า “less likely” ช่องโหว่นี้ยังไม่อยู่ในรายการ Known Exploited Vulnerabilities ของ CISA ณ วันที่ 26 ตุลาคม 2569

ข้อจำกัดของหลักฐาน คือ รายงานสองฝ่ายขัดกันในเรื่องการโต้ตอบของผู้ใช้ Enclave ระบุว่าโค้ดสาธิตได้โทเค็นมาโดยไม่ต้องให้ผู้ใช้ทำอะไร นอกจากมีบัญชีล็อกอินอยู่ในเครื่อง ขณะที่ประกาศของ Microsoft ระบุว่าต้องติดตั้งแอปอันตรายและหลอกให้ผู้ใช้ทำขั้นตอนยืนยันตัวตนใน Authenticator ให้เสร็จ ซึ่งคะแนน CVSS ก็สะท้อนว่าต้องมีการโต้ตอบ นอกจากนี้ Microsoft ไม่ได้บอกว่าการอัปเดตจะยกเลิกโทเค็นที่แอปอันตรายได้ไปก่อนหน้าหรือไม่

รายละเอียดช่องโหว่

สาเหตุ — Authenticator เชื่อชื่อแอปที่ผู้ขอบอกมา แทนที่จะดูว่าใครขอจริง Authenticator เปิดคอมโพเนนต์ชื่อ AccountChooserActivity ให้แอปใดก็ได้บนเครื่องเรียกใช้ เมื่อแอปของผู้โจมตีเรียกคอมโพเนนต์นี้ Authenticator สร้างคำขอโทเค็นจากค่าที่แอปผู้โจมตีส่งมา รวมถึงชื่อแอปที่อ้างว่าเป็น แอปผู้โจมตีบอกว่าเป็น Teams และ Authenticator ก็เชื่อ

ทำไมการตรวจลายเซ็นไม่ช่วย — การตรวจลายเซ็นดิจิทัลควรกันเหตุนี้ได้ แต่ตรวจผิดแอป ระบบไปดึงลายเซ็นจริงของแอปที่ถูกอ้างชื่อมาเทียบ และเพราะ Teams ติดตั้งอยู่ในเครื่องจริง ลายเซ็นจริงของ Teams จึงมีให้อ่าน การตรวจจึงผ่าน Enclave พบว่า Authenticator รู้ว่าแอปไหนเป็นผู้ส่งคำขอจริง แต่ไม่ได้ใช้ข้อมูลนั้นตัดสินว่าจะให้โทเค็นหรือไม่

ผลลัพธ์ — ในการทดสอบ เมื่อสวมเป็น Teams แล้วขอโทเค็น Microsoft Graph ได้สิทธิ์อ่านและส่งอีเมล อ่านและเขียนไฟล์ อ่านและเขียนปฏิทิน และอื่น ๆ Microsoft อธิบายกว้าง ๆ ว่าผู้โจมตียืนยันตัวตนเป็นผู้ใช้ที่ล็อกอินอยู่และเข้าถึงทรัพยากรของผู้ใช้นั้นได้ โทเค็นใช้ได้กับบัญชีงานที่ล็อกอินใน Authenticator บนเครื่องนั้นเท่านั้น ไม่รวมบัญชีอื่น

เงื่อนไขและเวอร์ชัน — ผู้โจมตีต้องให้เหยื่อติดตั้งแอปอันตรายบนเครื่องก่อน แอปนั้นไม่ต้องขอสิทธิ์ Android ใดเลย CVSS 8.6 แก้แล้วใน Microsoft Authenticator for Android 6.2606.4246

ผลกระทบ

ผู้ที่เสี่ยง คือ พนักงานที่ใช้ Authenticator บน Android เป็นตัวกลางล็อกอินบัญชี Microsoft 365 ขององค์กร และยังไม่อัปเดตแอป บัญชีงานบนมือถือมักเข้าถึงอีเมล OneDrive SharePoint และปฏิทินได้ครบ โทเค็นที่หลุดจึงเปิดทางให้อ่านเอกสารภายใน ส่งอีเมลในนามพนักงานเพื่อหลอกเพื่อนร่วมงานหรือคู่ค้า และแก้ไขไฟล์ได้โดยไม่ต้องรู้รหัสผ่านและไม่ต้องผ่าน MFA อีก

ประเด็นที่น่ากังวล คือ แอปที่ไม่ขอสิทธิ์ใดเลยดูไม่น่าสงสัยในสายตาผู้ใช้และเครื่องมือตรวจแอปทั่วไป ข่าวนี้ยังชี้ว่าตัวกลางยืนยันตัวตนบนมือถือกลายเป็นจุดเดียวที่ถ้าพลาดจะเสียทั้งบัญชี แม้ยังไม่มีการโจมตีจริง เมื่อรายละเอียดเปิดเผยแล้วเครื่องที่ค้างเวอร์ชันเก่าจะเสี่ยงมากขึ้น

คำแนะนำ

  • อัปเดต Microsoft Authenticator for Android เป็น 6.2606.4246 ขึ้นไปทันที — ผู้ใช้เช็กเวอร์ชันได้ที่หน้าแอปใน Google Play
  • บังคับเวอร์ชันขั้นต่ำผ่าน MDM/Intune — ตั้ง app protection หรือ compliance policy ให้เครื่องที่ Authenticator ต่ำกว่าเวอร์ชันนี้เข้าถึงทรัพยากรองค์กรไม่ได้
  • ตรวจ sign-in log ของ Entra ID — มองหาการเข้าถึง Microsoft Graph จากโทเค็นที่ออกให้แอปมือถือแต่ถูกใช้จากที่อยู่ IP หรืออุปกรณ์ที่ผิดปกติ โดยเฉพาะการส่งอีเมลจำนวนมากหรือการดาวน์โหลดไฟล์ผิดปกติ
  • เพิกถอนเซสชันถ้าสงสัย — เนื่องจาก Microsoft ไม่ยืนยันว่าการอัปเดตยกเลิกโทเค็นเดิม บัญชีที่มีพฤติกรรมน่าสงสัยควรถูก revoke sign-in sessions ใน Entra ID
  • จำกัดการติดตั้งแอปบนเครื่องที่เข้าถึงบัญชีงาน — ใช้ Android Work Profile และอนุญาตเฉพาะแอปจาก managed Google Play เพื่อตัดเงื่อนไขการติดตั้งแอปอันตราย
  • ระยะยาวใช้ Conditional Access แบบ token protection — ผูกโทเค็นกับอุปกรณ์เพื่อลดผลเสียหายเมื่อโทเค็นหลุด

แหล่งอ้างอิง