Microsoft แก้ไขช่องโหว่บนแอป Authenticator บน Android ป้องกันการขโมย Token บัญชีองค์กร

ช่องโหว่ CVE-2026-80097 กับความเสี่ยงด้าน Identity

นักวิจัยด้านความปลอดภัยได้ตรวจพบช่องโหว่ที่สำคัญในแอปพลิเคชัน Microsoft Authenticator เวอร์ชันบน Android ซึ่งส่งผลกระทบต่อความมั่นคงปลอดภัยของบัญชีผู้ใช้งาน โดยช่องโหว่ดังกล่าวถูกระบุรหัส CVE-2026-80097 ซึ่งอนุญาตให้แอปพลิเคชันอื่นในเครื่องที่มีเจตนาร้าย สามารถปลอมตัวเป็นแอปที่ได้รับความเชื่อถือจาก Microsoft เช่น Microsoft Teams เพื่อทำการขโมยข้อมูล Sign-in Token ของบัญชีงาน (Work Account) ได้โดยตรง

สิ่งที่น่ากังวลคือแอปที่เป็นอันตรายดังกล่าวไม่จำเป็นต้องขอสิทธิ์การเข้าถึงพิเศษใดๆ จากผู้ใช้ในการทำกิจกรรมดังกล่าว ทำให้การตรวจจับทำได้ยากและอาจนำไปสู่การเข้าถึงระบบองค์กรโดยไม่ได้รับอนุญาตในวงกว้าง

คำแนะนำและการแก้ไข

Microsoft ได้ดำเนินการแก้ไขปัญหานี้เรียบร้อยแล้วใน Microsoft Authenticator เวอร์ชัน 6.2606.4246 สำหรับผู้ใช้งานและองค์กร FORTSECURE GLOBAL ขอแนะนำให้ดำเนินการตามขั้นตอนต่อไปนี้:

1. ตรวจสอบการตั้งค่าและอัปเดตแอป Microsoft Authenticator ใน Google Play Store ให้เป็นเวอร์ชันล่าสุดทันที
2. ฝ่ายไอทีขององค์กรควรประกาศแจ้งเตือนพนักงานให้ดำเนินการอัปเดตแอปพลิเคชันผ่านช่องทางทางการเท่านั้น
3. พิจารณาการใช้ระบบป้องกันเพิ่มเติม เช่น การใช้ Hardware Security Key หรือเงื่อนไขของ Conditional Access ที่เข้มงวดมากขึ้น เพื่อลดความเสี่ยงจากการใช้ข้อมูล Token ที่ถูกขโมยไปในอนาคต

---

แหล่งที่มา: The Hacker News เผยแพร่ครั้งแรก: Tue, 27 Oct 2026 17:39:50 +0530 บทความต้นฉบับ: อ่านต้นฉบับ