据TechRadar报道，微软Android版Authenticator应用存在一处严重漏洞（编号CVE_2026-80097），恶意应用可在不申请任何权限、不需用户确认的情况下冒充微软第一方应用，取得访问用户微软账户数据的会话令牌。微软已发布修复，并敦促Android用户尽快更新。

发现该漏洞的是安全公司Enclave。研究人员在受控实验中准备了一台已登录微软服务并装有Authenticator的Android设备，随后安装第三个应用。按Android的常规标准，这个应用并不恶意：它不申请大量权限，不连接可疑的第三方服务器，也不尝试外传数据。它所做的只是伪装成微软Teams，向Authenticator提供正确的包名、客户端ID和重定向URI，请求完成身份验证并获取数据访问权。Authenticator确认这些数据真实有效后即发放了令牌。

拿到令牌后，研究人员得以访问受害者的电子邮件、Teams聊天信息和日历，并可修改和发送消息、改动文件与日历条目，乃至管理部分身份验证方式，包括创建或删除通行密钥。整个流程在后台完成，用户既没有被要求确认登录，也没有收到任何通知。

研究人员认为，问题在于Authenticator只核验应用提供的数据是否真实，却不核验提出请求的应用本身是什么。换言之，任何应用只要自称是Teams，就可能拿到对应的会话令牌。他们表示，一个没有任何权限的普通Android应用即可冒充任意已安装的微软第一方应用，并由Authenticator交给它该应用的令牌。这打破了通过权限列表识别恶意应用的常规判断方式。

Enclave表示未在真实环境中观察到此类攻击，该场景是在受控环境中构造的，目前也没有证据显示有人在外界尝试过类似手法。不过研究人员提醒，恶意应用仍需先被安装到目标设备上，这类应用通常难以进入Google Play商店，用户若避免从非官方渠道下载APK文件，风险可相应降低。

Enclave已向微软安全响应中心报告该漏洞，微软确认了问题并推出修复。受影响的是低于6.2606.4246的Android版Authenticator，用户应通过Google Play商店更新至6.2606.4246或更高版本。