MicrosoftAuthenticatorアプリの脆弱性とは？Android版の更新と確認方法

Microsoft Authenticatorアプリに脆弱性が見つかったと聞き、自分のスマートフォンも対象なのか気になっていませんか。問題が確認されたのはAndroid版で、研究者の検証では職場アカウントにサインインした端末が前提でした。

Microsoftによる修正はすでに提供されています。Android版を使っている場合は、まずGoogle Playから更新の有無を確認しましょう。会社が端末を管理している場合は、自己判断で設定を変更する前にIT担当者へ相談してください。

この記事のポイント

認証アプリの脆弱性と対象者

問題は、Android版Microsoft Authenticatorがアプリからの要求を確認する仕組みにありました。Authenticatorはサインインの承認に使われるほか、職場のMicrosoftアプリがログイン状態を利用する際の仲介役にもなります。

セキュリティ企業Enclaveの検証では、職場アカウントでサインイン済みの端末に用意したアプリが、正規のアプリを装って認証済みの情報を取得できました。対象端末に悪意あるアプリが入ることが攻撃の前提であり、Authenticatorを使っているだけで直ちに被害が確定するという意味ではありません。

研究者が取得した情報には、条件によってメールやファイル、予定表などへのアクセスに使える権限が含まれていました。検証内容と修正状況はEnclaveの研究報告で確認できます。

この問題は「CVE-2026-80097」として公開されています。研究報告によると、Android版の6.2606.4246より前のバージョンが対象で、同バージョン以降では修正されています。Microsoftによる公開日は2026年9月8日、研究者による詳しい説明の公開日は10月23日です。

今回の研究はAndroid版を対象にしています。iPhone版について同じ仕組みや影響が確認されたと、この研究から言うことはできません。個人用アカウントだけを使う場合も、職場アカウントを使った検証結果をそのまま個人用の被害と決めつけず、アプリを最新に保ちましょう。

修正済みの版に更新すれば今回の欠陥への対策になりますが、更新だけで過去の不正アクセスの有無を判断することはできません。見覚えのないアプリやサインインがあるときは、通常の更新作業とは分けて管理者に相談してください。

個人で管理しているAndroid端末では、Google Playストアを開き、右上のプロフィールアイコンから「アプリとデバイスの管理」を選びます。「アップデート利用可能」の詳細を表示し、Microsoft Authenticatorに更新があれば「更新」を押します。

アプリの詳細ページに更新ボタンが表示される場合もあります。画面名や表示は端末やストアの状態によって異なることがあるので、迷ったときはGoogle Playのアプリ更新案内を確認してください。更新ボタンが見えないだけで、必ず修正済みとは断定できません。

バージョンを確認できる画面があれば、Android版の番号が6.2606.4246以降かを確かめます。確認場所が分からない場合や、古い版のままで更新できない場合は、端末の管理者やサポートへ状況を伝えるとよいでしょう。OSのバージョン番号とAuthenticatorアプリ自体のバージョンは別です。

会社から貸与された端末や、会社がアプリを管理する端末では、更新の配信や利用できるストアが組織の設定に左右されることがあります。自分で更新できないときは、端末の種類、アプリの版、画面に出たエラーをIT担当者へ伝え、組織の手順に従ってください。

不審なアプリを入れた覚えがある、見覚えのない操作があるなど、具体的な懸念がある場合も同様です。証拠や業務データを消す可能性があるため、会社端末では独断で初期化せず、担当者の指示を受けましょう。

急いで認証アプリを削除したり、登録済みアカウントを消したりする必要はありません。Microsoftの案内では、アカウントを削除するとその端末でサインインを確認できなくなると説明しています。再設定が必要な場合は、代替の認証手段や管理者の手順を先に確認してください。

今回の研究で確認されたのは、職場アカウントでサインインしたAndroid端末を前提とする問題です。まずAuthenticatorを最新に更新し、6.2606.4246以降か確認します。管理端末で操作できない場合や、不審な操作に心当たりがある場合は、組織のIT担当者に相談してください。