Auf den Punkt: Eine kritische Lücke im Microsoft Authenticator (CVE-2026-41615, CVSS 9.6 laut Microsoft, 7.4 laut NIST) erlaubt das Abgreifen von Sign-in-Token; Updates für Android und iOS stehen bereit.
Microsoft warnt vor einer Schwachstelle im Authenticator, über die Angreifer Sign-in-Token von Arbeitskonten abgreifen und sich damit unbefugten Zugriff auf Unternehmensressourcen verschaffen können. Aktualisierte App-Versionen für Android und iOS beheben das Problem.
Microsoft hat in einem Schwachstelleneintrag eine kritische Sicherheitslücke im Authenticator bestätigt, die als CVE-2026-41615 geführt wird. Die App gibt demnach Informationen über das Netzwerk preis, die an unbefugte Akteure gelangen können. Konkret kann das Sign-in-Token zum Arbeitskonto eines Nutzers offengelegt werden, wodurch Angreifer Zugriff auf Daten und Dienste erhalten, für die das jeweilige Konto berechtigt ist – potenziell einschließlich sensibler Unternehmensinformationen. Microsoft bewertet die Lücke mit einem CVSS-Wert von 9.6 und stuft das Risiko als „kritisch“ ein. Das NIST kommt im NVD-Eintrag mit einem CVSS-Wert von 7.4 zu einer niedrigeren Einschätzung („hoch“).
Zur Ausnutzung muss ein Opfer dazu gebracht werden, mit einer legitim wirkenden, aber bösartigen Anfrage zu interagieren. Bestätigt die Nutzerin oder der Nutzer diese Anfrage, kann die App dazu veranlasst werden, im Namen des Kontoinhabers Zugriffstoken anzufordern und an einen von Angreifern kontrollierten Dienst auszuliefern. Betroffene erhalten dabei keine klare Rückmeldung darüber, welcher Zugriff tatsächlich gewährt wurde. Für Unternehmen bedeutet dies ein reales Risiko für kompromittierte Arbeitskonten, da der Authenticator breit für Multi-Faktor-Authentifizierung im Microsoft-365- und Azure-AD-Umfeld eingesetzt wird.
Microsoft stellt aktualisierte Versionen in den App-Stores bereit: Unter Android behebt Version 6.2605.2973 oder neuer das Problem, unter iOS ist dies ab Version 6.8.47 der Fall. Geräte mit aktivierten automatischen App-Updates erhalten die Aktualisierung selbstständig. Ist diese Funktion deaktiviert, müssen Nutzerinnen und Nutzer die Updates manuell über Google Play beziehungsweise den iOS-App-Store einspielen. Die installierte Version lässt sich im Authenticator unter „Hilfe“ – „Info“ – „Anwendungsversion“ einsehen.
Nach Angaben von Microsoft wurde die Schwachstelle bislang nicht aktiv ausgenutzt, ein öffentlich verfügbarer Exploit existiert derzeit nicht. IT-Verantwortliche sollten dennoch zeitnah prüfen, ob die betroffenen Authenticator-Versionen im Unternehmen im Einsatz sind, und die Updateverteilung auf verwalteten Mobilgeräten sicherstellen, etwa über MDM-Richtlinien, um manuelle Update-Lücken bei Nutzern mit deaktivierten Auto-Updates zu schließen.
Quelle: www.heise.de · Erschienen 18. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.