LONDON (IT BOLTWISE) – Microsoft hat eine kritische Android-Sicherheitslücke in der Authenticator-App unter der Kennung CVE-2026-80097 geschlossen. Betroffen waren Versionen ab 6.0.0 bis vor 6.2606.4246, die im Patch Tuesday am 8. September 2026 korrigiert wurden. Die Schwachstelle ließ es laut Analyse ohne Nutzerinteraktion zu, dass Angreifer exportierte Aktivitäten missbrauchen und dabei Microsoft-Graph-Tokens abgreifen konnten. Parallel plant der Konzern Mitte Januar 2027 ein Passkeys-Update inklusive überarbeitetem Backup-System für Android.
Microsoft hat eine Android-Sicherheitslücke in der Authenticator-App geschlossen, die in der Praxis vor allem wegen ihres Angriffswegs auffällt: Unter der Kennung CVE-2026-80097 und dem internen Namen „AuthMask“ lag ein Fehler in der Signaturprüfung vor. Konkret betraf die Schwachstelle laut Microsoft alle Versionen ab 6.0.0 bis vor 6.2606.4246. Der Patch wurde demnach bereits am 8. September 2026 im Rahmen des regulären Patch Tuesday mit der Veröffentlichung der Version 6.2606.4246 bereitgestellt. Mit einem CVSS-Wert von 8,6 ordnete Microsoft den Vorfall als wichtige Rechteausweitung ein; in der Klassifikation wird die Schwachstelle der Kategorie CWE-287 zugeordnet.
Technisch beginnt der problematische Teil bei einer exportierten Android-Aktivität: Eine bösartige App konnte ohne besondere Systemberechtigungen die „AccountChooserActivity“ starten und sich dabei als Microsoft Teams ausgeben. Entscheidend ist der Fehler in der internen Signaturprüfung der Authenticator-App. Statt die tatsächliche Paketsignatur des aufrufenden Elements korrekt zu verifizieren, prüfte die App fälschlicherweise die vom Aufrufer angegebene Signatur. Dadurch entstand ein Vertrauensbruch zwischen Aufrufer und Authenticator-Validierung, aus dem sich ein breiter Token-Impact ableiten ließ.
Aus den resultierenden Folgen wird besonders klar, warum Authentifizierungs-Apps als „High-Value“-Ziele gelten. Laut den Forschern von Enclave reichte der Mechanismus aus, um im Kontext des Authenticators Zugriffs-, Aktualisierungs- und ID-Token im Klartext für ein angemeldetes Arbeitskonto abzugreifen. Das öffnete Angreifern den Weg zu weitreichenden Microsoft-Graph-Tokens, darunter Berechtigungen wie Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send sowie Sites.ReadWrite.All. Zusätzlich konnten im Zusammenspiel mit dem Authenticator auch Rechte erlangt werden, die direkt mit Authentifizierungsmethoden zusammenhängen, etwa UserAuthenticationMethod.ReadWrite sowie Passkey.Create und Passkey.Delete.
Für IT- und Security-Teams ist damit weniger die theoretische Angriffsfläche das Kernthema, sondern die konkrete Betriebsrealität: Microsoft stellte in der eigenen Darstellung zwar fest, dass bislang keine aktiven Ausnutzungen beobachtet wurden. Die gleichen Informationen sagen aber auch, dass die Lücke zur Zeit der Erstbewertung noch nicht im KEV-Katalog der US-Cybersicherheitsbehörde CISA gelistet war. Unabhängig von dieser Einordnung bleibt die praktische Handlungsanweisung klar: Administrierende sollten alle betreuten Android-Geräte umgehend auf Version 6.2606.4246 oder höher aktualisieren, weil ungepatchte Installationen weiterhin angreifbar bleiben. Besonders relevant ist dabei der Hinweis der Forscher, dass keine Nutzerinteraktion erforderlich sein soll, sofern bereits ein Arbeitskonto auf dem Gerät angemeldet ist.
Damit verschiebt sich der Fokus im nächsten Schritt von „Patching“ zu „Modernisierung der Anmeldeverfahren“. Mitte Januar 2027 plant Microsoft ein Update, das unter Android Unterstützung für Passkeys zur geräteübergreifenden Anmeldung bereitstellt sowie ein überarbeitetes Backup-System einführt. Der Rollout soll sowohl weltweit als auch stufenweise für die behördlichen Umgebungen GCC, GCC High und DoD beginnen und abgeschlossen werden. Diese zeitliche Kopplung an die Passkey-Umstellung ist strategisch: In der Sicherheitsarchitektur von Unternehmen wirkt Passkey-Technologie weniger als isolierte App-Funktion, sondern als Baustein, der Phishing-Risiken und schwache Geheimnisse reduzieren soll.
Die Umstellung bringt allerdings auch neue Betriebs- und Recovery-Anforderungen mit sich. Ab Januar 2027 sollen Backups für Passkeys laut Angaben über Google One Backup abgewickelt werden, zusätzlich wird eine aktive Bildschirmsperre vorausgesetzt. Für zeitbasierte Einmalkennwörter (TOTP) privater Microsoft- und Drittanbieterkonten soll die Datensicherung bestehen bleiben; Arbeits- und Schulkonten werden hingegen nicht gesichert und müssen auf neuen Geräten manuell neu registriert werden. Wichtig ist außerdem die Systemgrenze: Das Backup- und Wiederherstellungsverfahren soll ausschließlich im persönlichen Profil von Android gelten, nicht im separaten Arbeitsprofil, und eine plattformübergreifende Wiederherstellung zwischen iOS und Android wird nicht unterstützt.
Aus operativer Sicht bedeutet das für Unternehmen, dass die Patch-Dringlichkeit nicht mit der Passkey-Ankündigung endet. Nutzer sollten bei der Umstellung vorbereitet werden, damit sie geänderte Abläufe bei Sicherung und Wiederherstellung als normales Verhalten einordnen können. Microsoft rät zudem, Passkeys nicht zusammen mit TOTP abzusichern und alte Geräte erst dann zu löschen, wenn die Anmeldung auf dem neuen Endgerät erfolgreich eingerichtet wurde. Für IT-Administratoren besteht laut Quelle im Januar kein unmittelbarer Handlungsbedarf; trotzdem ist eine begleitende Kommunikation sinnvoll, gerade weil die Konfiguration im Alltag häufig in mehreren Profilen und über unterschiedliche Geräteklassen hinweg erfolgt. Wer Sicherheitsprozesse betreibt, kann die Lücke zugleich als Anlass nehmen, die Kette aus App-Validierung, Token-Schutz und Recovery-Strategie ganzheitlich zu überprüfen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Authenticator schließt Android-Lücke CVE-2026-80097 und kündigt Passkeys-Update an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Authenticator schließt Android-Lücke CVE-2026-80097 und kündigt Passkeys-Update an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Authenticator schließt Android-Lücke CVE-2026-80097 und kündigt Passkeys-Update an« bei Google Deutschland suchen, bei Bing oder Google News!