# CVE-2026-80097: แอปไร้สิทธิ์สวมรอย Teams ขอโทเคน Microsoft Authenticator Android แก้แล้ว

> CVE-2026-80097 ช่องโหว่ Microsoft Authenticator Android ให้แอปไร้สิทธิ์สวมรอย Teams ขอโทเคนบัญชีงาน Enclave เผยงานวิจัย 23 ต.ค. 2026 แก้แล้วใน 6.2606.4246

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-27T07:41:00.000Z · อัปเดต: 2026-10-27T07:41:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/microsoft-authenticator-flaw-cve-2026-80097-android/

## สรุปประเด็นสำคัญ

- Enclave เผยแพร่งานวิจัย **AuthMask** เมื่อ **23 ตุลาคม 2026** แสดงว่าแอป Android ที่ไม่ขอสิทธิ์ใดเลยสวมรอยเป็นแอปของ Microsoft แล้วให้ **Microsoft Authenticator** ส่งโทเคนของบัญชีงานที่ล็อกอินไว้กลับมาได้
- Microsoft เผยแพร่ **CVE-2026-80097** เมื่อ **8 กันยายน 2026** จัดระดับ Important ประเภทยกระดับสิทธิ์ คะแนน **CVSS 3.1 ที่ 8.6** และระบุเวอร์ชันที่แก้คือ **6.2606.4246** ของ Microsoft Authenticator for Android
- ในการทดสอบของ Enclave การสวมรอยเป็น Teams ได้สิทธิ์ Microsoft Graph เช่น Mail.ReadWrite, Mail.Send, Files.ReadWrite.All และ Calendars.ReadWrite ส่วนการสวมรอยเป็น Authenticator เองได้สิทธิ์สร้างและลบ passkey
- ต้นเหตุคือ activity ชื่อ AccountChooserActivity ที่เปิดให้แอปอื่นเรียกได้ และการตรวจสอบใช้ข้อมูลที่แอปผู้เรียกกรอกเอง ไม่ได้ใช้ตัวตนจริงของแอปที่เรียก
- MSRC ระบุ ณ การแก้ไขล่าสุด **15 กันยายน 2026** ว่ายังไม่พบการโจมตีจริงและไม่ได้ถูกเปิดเผยสาธารณะมาก่อน ส่วนหน้า Google Play ระบุว่าแอปมียอดดาวน์โหลดมากกว่า **100 ล้านครั้ง**

Enclave บริษัทวิจัยความปลอดภัยเผยแพร่งานวิจัยชื่อ AuthMask เมื่อ 23 ตุลาคม 2026 แสดงว่าช่องโหว่ CVE-2026-80097 ใน Microsoft Authenticator บน Android เปิดให้แอปที่ไม่มีสิทธิ์ใด ๆ สวมรอยเป็นแอปของ Microsoft เช่น Teams แล้วขอโทเคนของบัญชีงานที่ล็อกอินไว้ได้ Microsoft ให้คะแนน CVSS 3.1 ที่ 8.6 และแก้แล้วตั้งแต่เวอร์ชัน 6.2606.4246 ผู้ใช้ Android ที่ยังไม่ได้อัปเดตควรอัปเดตแอปทันที

Microsoft เผยแพร่ CVE-2026-80097 ในคู่มืออัปเดตความปลอดภัย (Security Update Guide) ตั้งแต่ 8 กันยายน 2026 และแก้ไขหมายเลขบิลด์ที่แก้เมื่อ 15 กันยายน แต่รายละเอียดว่าช่องโหว่ทำงานอย่างไรเพิ่งปรากฏเมื่อ Enclave เผยแพร่งานวิจัยของ Ofek Levin นักวิจัยในโครงการ Enclave Fellowship Program และสื่อความปลอดภัยอย่าง Help Net Security รายงานต่อเมื่อ 27 ตุลาคม 2026

## CVE-2026-80097 เกิดจากอะไร

บน Android แอป Microsoft Authenticator ไม่ได้ทำหน้าที่แค่แสดงรหัส 6 หลัก แต่ยังเป็น broker ของการล็อกอิน คือเมื่อ Teams, Outlook หรือแอปอื่นของ Microsoft ต้องการล็อกอินบัญชีงาน แอปเหล่านั้นจะส่งคำขอมาที่ Authenticator แล้ว Authenticator ส่งโทเคนกลับไปให้ โทเคนนี้คือหลักฐานว่าผู้ใช้ล็อกอินแล้ว ใครถือโทเคนก็ใช้บริการในนามผู้ใช้คนนั้นได้

Enclave ระบุว่าต้นเหตุของ CVE-2026-80097 คือ activity ชื่อ `com.microsoft.identity.client.AccountChooserActivity` ซึ่งถูกตั้งค่าเป็น exported ทำให้แอปใดก็ได้บนเครื่องเรียกใช้ได้ เงื่อนไขเดียวที่ activity นี้ตรวจคือต้องมีแอปที่เรียกเข้ามา จากนั้นจึงนำข้อมูลในคำขอ ทั้งชื่อแอป ชื่อแพ็กเกจ client ID, redirect URI, scope ที่ขอ และแม้แต่ค่า UID ของผู้เรียก ไปสร้างคำขอโทเคน โดยข้อมูลทั้งหมดนี้แอปผู้เรียกเป็นคนกรอกเอง

Authenticator มีขั้นตอนตรวจลายเซ็นอยู่ แต่ Enclave อธิบายว่าการตรวจนั้นดูเพียงว่า redirect URI ในคำขอตรงกับลายเซ็นของแพ็กเกจที่ "อ้างว่าเป็น" หรือไม่ เมื่อ Teams ตัวจริงติดตั้งอยู่บนเครื่อง แอปปลอมก็อ่านลายเซ็นสาธารณะของ Teams จาก PackageManager แล้วสร้าง redirect URI ที่ถูกต้องได้ การตรวจจึงผ่านเสมอ ทั้งที่ Authenticator รู้ชื่อแพ็กเกจของแอปที่เรียกเข้ามาจริง แต่นำไปใช้แค่จัดคิวคำขอ ไม่ได้ใช้ตัดสินใจว่าควรไว้ใจหรือไม่ บทความนี้ไม่ลงรายละเอียดขั้นตอนการสร้างคำขอ ผู้ที่ต้องการศึกษาเชิงเทคนิคอ่านได้จากงานวิจัยต้นทางของ Enclave

## สิทธิ์ที่แอปสวมรอยได้ในการทดสอบของ Enclave

Enclave ทดสอบสวมรอยเป็นแอป 3 แบบบนเครื่องที่มี Authenticator และบัญชีงานล็อกอินอยู่หนึ่งบัญชี และได้โทเคนกลับมาเป็นข้อความธรรมดาในผลลัพธ์ของ activity ทั้ง access token, refresh token, ID token และ client info โดยไม่ต้องให้ผู้ใช้กดอะไรเพิ่ม

| สวมรอยเป็น | ทรัพยากรที่ขอ | สิทธิ์ที่ได้ตามรายงานของ Enclave |
| --- | --- | --- |
| Microsoft Teams | Microsoft Graph (graph.microsoft.com) | Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send, Sites.ReadWrite.All และอื่น ๆ |
| ระบบแชตหลังบ้านของ Teams | api.spaces.skype.com | user_impersonation |
| Microsoft Authenticator เอง | ทรัพยากรของ Authenticator | UserAuthenticationMethod.ReadWrite, Passkey.Create, Passkey.Delete |

Enclave สรุปว่าการสวมรอยเป็น Teams แล้วขอ Microsoft Graph ให้สิทธิ์แบบ delegated ต่อกล่องจดหมาย ไฟล์ และปฏิทินของเหยื่อเต็มรูปแบบ ส่วน Help Net Security ชี้ว่าสิทธิ์สร้าง passkey ที่ได้จากการสวมรอยเป็น Authenticator เองทำให้ผู้โจมตีเพิ่มวิธีล็อกอินของตัวเองเข้าไปในบัญชี และยังเข้าบัญชีต่อได้แม้ผู้ใช้ลบแอปอันตรายออกไปแล้ว

![ภาพสรุปตัวเลขสำคัญของ CVE-2026-80097: คะแนน CVSS 3.1 ที่ 8.6, เวอร์ชันที่แก้ 6.2606.4246, Microsoft เผยแพร่ CVE 8 กันยายน 2026 และ Enclave เผยแพร่งานวิจัย 23 ตุลาคม 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/microsoft-authenticator-flaw-cve-2026-80097-android/authmask-cve-2026-80097-key-facts.webp?v=bb1ab1af) _(ภาพ: THAI DATA (ข้อมูล: Microsoft Security Response Center และ Enclave))_

## Microsoft แก้ CVE-2026-80097 อย่างไร และสองฝ่ายมองต่างกันตรงไหน

ในคู่มืออัปเดตความปลอดภัยของ Microsoft CVE-2026-80097 ใช้ชื่อว่า Microsoft Authenticator Elevation of Privilege Vulnerability จัดเป็นจุดอ่อน CWE-287 Improper Authentication ระดับความรุนแรงสูงสุด Important คะแนน CVSS 3.1 ฐาน 8.6 (temporal 7.5) เวกเตอร์ `AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H` ผลิตภัณฑ์ที่กระทบมีรายการเดียวคือ Microsoft Authenticator for Android และบิลด์ที่แก้คือ 6.2606.4246 โดยลิงก์ release notes ชี้ไปที่หน้าแอปบน Google Play ประกาศยังระบุว่ายังไม่พบการโจมตีจริง (Exploited: No) และไม่ได้ถูกเปิดเผยสาธารณะมาก่อน (Publicly Disclosed: No)

![หน้าประกาศ CVE-2026-80097 ใน Security Update Guide ของ Microsoft เผยแพร่ 8 กันยายน 2026 อัปเดต 15 กันยายน 2026 ระดับ Important CVSS 3.1 ที่ 8.6](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/microsoft-authenticator-flaw-cve-2026-80097-android/msrc-cve-2026-80097-page.webp?v=4723da14) _(ภาพ: Microsoft Security Response Center (ภาพหน้าจอ))_

จุดที่สองฝ่ายอธิบายต่างกันคือบทบาทของผู้ใช้ Microsoft เขียนในคำถามที่พบบ่อยของประกาศว่าผู้โจมตีต้องติดตั้งและรันแอปอันตรายบนเครื่อง แล้ว "ชักจูงให้ผู้ใช้ทำขั้นตอนยืนยันตัวตนใน Microsoft Authenticator จนเสร็จ" สอดคล้องกับเวกเตอร์ที่ระบุว่าต้องมีการโต้ตอบจากผู้ใช้ (UI:R) ขณะที่ Enclave ระบุว่าในการทดสอบ "ไม่มีการโต้ตอบจากผู้ใช้นอกจากการที่ broker อยู่บนเครื่องพร้อมบัญชีงานที่ล็อกอินไว้" บทความนี้จึงนำเสนอทั้งสองมุม ผู้อ่านควรถือว่าความเสี่ยงอยู่ที่การมีแอปอันตรายบนเครื่องเป็นหลัก

สิ่งที่ทั้งสองฝ่ายตรงกันคือผลลัพธ์ Microsoft ระบุว่าผู้โจมตีที่สำเร็จ "อาจได้ความสามารถในการยืนยันตัวตนกับโฮสต์ระยะไกลด้วยข้อมูลประจำตัวของผู้ใช้ปัจจุบัน" และเข้าถึงทรัพยากรในนามผู้ใช้ได้ ซึ่งก็คือโทเคนที่ Enclave สาธิตว่าดึงออกมาได้

## ทำไมเรื่องนี้สำคัญ

Microsoft Authenticator เป็นแอปที่องค์กรจำนวนมากกำหนดให้พนักงานติดตั้งเพื่อทำ MFA และล็อกอินแบบไม่ใช้รหัสผ่าน หน้าแอปบน Google Play ที่เราเปิดดูเมื่อ 27 ตุลาคม 2026 ระบุยอดดาวน์โหลดมากกว่า 100 ล้านครั้ง คะแนน 4.6 ดาวจากรีวิว 2.84 ล้านรายการ และอัปเดตล่าสุดเมื่อ 27 ตุลาคม 2026 แอปที่เป็นด่านยืนยันตัวตนของบัญชี Microsoft 365 ทั้งองค์กรจึงเป็นเป้าหมายที่คุ้มค่าสำหรับมัลแวร์บนมือถือ

![หน้า Microsoft Authenticator บน Google Play ระบุยอดดาวน์โหลดมากกว่า 100 ล้านครั้งและคะแนน 4.6 ดาว ซึ่งเป็นช่องทางอัปเดตแอปให้พ้น CVE-2026-80097](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/microsoft-authenticator-flaw-cve-2026-80097-android/google-play-microsoft-authenticator-listing.webp?v=c040f5ca) _(ภาพ: Google Play (ภาพหน้าจอ))_

ช่องโหว่นี้ไม่ได้อยู่ที่การเดารหัสหรือหลอกให้กดยืนยัน แต่อยู่ที่กลไก broker บนเครื่องซึ่งเชื่อข้อมูลที่แอปผู้เรียกบอกเอง บทเรียนที่ Help Net Security และ Enclave ย้ำตรงกันคือ broker ต้องตรวจตัวตนจริงของแอปที่เรียก ไม่ใช่ตรวจว่าข้อมูลที่อ้างมาดูสมเหตุสมผลหรือไม่ และ CVE-2026-80097 ยังเตือนว่าแม้องค์กรจะเปิด MFA ครบตามคู่มือ[วิธีเปิด MFA Microsoft 365 ทั้งองค์กร](/enterprise-apps/enable-mfa-microsoft-365-entra-conditional-access/)แล้ว แอปอันตรายบนเครื่องที่ล็อกอินค้างไว้ก็ยังข้ามขั้นตอนเหล่านั้นได้ เพราะมันขอโทเคนหลังจากผู้ใช้ผ่าน MFA ไปแล้ว

## สิ่งที่องค์กรไทยควรทำ

1. **อัปเดต Microsoft Authenticator บน Android ทุกเครื่องให้เป็น 6.2606.4246 ขึ้นไป** ผ่าน Google Play และตรวจเวอร์ชันในหน้าตั้งค่าของแอป ถ้าใช้ Intune หรือ MDM อื่น ให้ดูรายงานเวอร์ชันแอปของเครื่องที่ลงทะเบียน
2. **กำหนดเวอร์ชันขั้นต่ำของแอป** ในนโยบาย MDM หรือ Conditional Access สำหรับเครื่องที่เข้าถึง Microsoft 365 เพื่อไม่ให้เครื่องที่ยังมี CVE-2026-80097 ใช้งานบัญชีงานได้
3. **จำกัดการติดตั้งแอปจากนอก Google Play** บนเครื่องที่ใช้บัญชีงาน เพราะเงื่อนไขของการโจมตีคือต้องมีแอปอันตรายอยู่บนเครื่อง
4. **ตรวจวิธีล็อกอินที่ผูกกับบัญชี** โดยเฉพาะ passkey และวิธียืนยันตัวตนที่ผู้ใช้ไม่ได้เพิ่มเอง เพราะสิทธิ์ที่ Enclave ได้จากการสวมรอยเป็น Authenticator รวมถึงการสร้างและลบ passkey อ่านวิธีจัดการได้ใน[คู่มือตั้งค่า Passkey](/security/passkey-setup-google-apple-microsoft-guide/)
5. **เฝ้าดู sign-in log และการใช้ Microsoft Graph ที่ผิดปกติ** เช่น การส่งอีเมลหรือเข้าถึงไฟล์จากเครื่อง Android ที่ไม่คุ้นเคย และเตรียมเพิกถอน refresh token ของผู้ใช้ที่สงสัยว่าเครื่องมีแอปอันตราย ติดตามข่าวช่องโหว่อื่นได้ที่[หมวดความปลอดภัย](/security/)

## คำถามที่พบบ่อย

### CVE-2026-80097 คือช่องโหว่อะไร?

CVE-2026-80097 คือช่องโหว่ประเภท Improper Authentication ใน Microsoft Authenticator บน Android ที่ Microsoft เผยแพร่เมื่อ 8 กันยายน 2026 คะแนน CVSS 3.1 ที่ 8.6 งานวิจัย AuthMask ของ Enclave แสดงว่าแอปที่ไม่มีสิทธิ์ใดเลยบนเครื่องสามารถอ้างตัวเป็นแอปของ Microsoft เช่น Teams แล้วรับโทเคนของบัญชีงานที่ล็อกอินไว้ใน Authenticator ได้

### Microsoft Authenticator เวอร์ชันไหนปลอดภัยจาก CVE-2026-80097?

ประกาศของ Microsoft ระบุว่าเวอร์ชันที่แก้ CVE-2026-80097 คือ Microsoft Authenticator for Android 6.2606.4246 และ Enclave ระบุว่าเวอร์ชันก่อนหน้านั้นได้รับผลกระทบทั้งหมด ผู้ใช้ควรเปิด Google Play ตรวจว่าแอปเป็นเวอร์ชัน 6.2606.4246 ขึ้นไป

### ผู้ใช้ iPhone ได้รับผลกระทบจาก CVE-2026-80097 หรือไม่?

ตารางผลิตภัณฑ์ที่ได้รับผลกระทบในประกาศ CVE-2026-80097 ของ Microsoft มีรายการเดียวคือ Microsoft Authenticator for Android และงานวิจัยของ Enclave ทดสอบกลไก broker บน Android เท่านั้น ประกาศไม่ได้ระบุว่าแอปบน iOS ได้รับผลกระทบ

### แอปปลอมต้องทำอะไรจึงจะได้โทเคนจากช่องโหว่นี้?

ตามงานวิจัยของ Enclave แอปปลอมต้องถูกติดตั้งบนเครื่องที่มี Microsoft Authenticator และมีบัญชีงานล็อกอินอยู่ แอปไม่ต้องขอสิทธิ์ Android ใดเลย ส่วนประกาศของ Microsoft ระบุว่าผู้โจมตีต้องติดตั้งแอปอันตรายและชักจูงให้ผู้ใช้ทำขั้นตอนยืนยันตัวตนใน Authenticator จนเสร็จ


## แหล่งอ้างอิง

- [AuthMask: We Made Microsoft Authenticator Hand Over Tokens to an App With Zero Permissions](https://enclave.ai/blog/authmask-we-made-microsoft-authenticator-hand-over-tokens) — Enclave
- [CVE-2026-80097 Microsoft Authenticator Elevation of Privilege Vulnerability](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-80097) — Microsoft Security Response Center
- [Microsoft Authenticator vulnerability let rogue Android apps steal work account access](https://www.helpnetsecurity.com/2026/10/27/microsoft-authenticator-vulnerability-patchedcve-2026-80097/) — Help Net Security
- [Microsoft Authenticator - Apps on Google Play](https://play.google.com/store/apps/details?id=com.azure.authenticator&hl=en) — Google Play