スマホ向け「Microsoft Authenticator」、トークン漏洩のおそれ

マイクロソフトのスマートデバイス向け認証アプリ「Microsoft Authenticator」に、ユーザーがサインインに用いるアクセストークンが漏洩する脆弱性が確認された。

同社は現地時間2026年5月14日、セキュリティアドバイザリを公開し、脆弱性「CVE-2026-41615」を明らかにした。

悪用には、正規のリクエストに見せかけてユーザーに操作させる必要があるが、ユーザーが誤認して承認すると、アプリが取得した業務アカウントのアクセストークンが、外部に送信されるおそれがある。また許可されるアクセス内容がユーザーに通知されないとしている。

同社は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.6」、重要度を4段階中もっとも高い「クリティカル（Critical）」と評価。

アドバイザリの公開時点で脆弱性の公表や悪用は確認されていないという。同社は悪用可能性を低いと見ている。

同社は、iOS向けに脆弱性を修正した「Microsoft Authenticator 6.8.47」、Android向けに「同6.2605.2973」をリリースした。自動更新機能やアプリストアよりアップデートするようユーザーに呼びかけている。

（Security NEXT - 2026/05/15 ）ツイート