Microsoft Authenticator leitet Token an Angreifer weiter Kritische Authenticator-Lücke er­mög­licht Kontoübernahme ohne Exploit

Anbieter zum Thema

Aagon GmbH

SEPPmail - Deutschland GmbH

CVE-2026-41615 erlaubt Angreifern, den Microsoft Authenticator über eine manipulierte OAuth-Anfrage zur Token-Weitergabe zu verleiten. Ein Nutzer­klick genügt, kein Exploit ist nötig. Mit dem gestohlenen Token über­neh­men Angreifer das Arbeitskonto. App-Updates für Android und iOS stehen bereit.

Microsoft führt die Schwachstelle unter der Kennung CVE-2026-41615 und stuft sie mit einem CVSS-Score von 9.6 als kritisch ein. Bei der ENISA hat die Schwachstelle die ID EUVD-2026-30342 und einen EPSS-Score* von 0.08%. Die Lücke zählt zum Bereich der Informations­offen­legung, kann im Ergebnis aber einer vollständigen Kontoübernahme gleichkommen. Der Angriff nutzt den Netzwerkvektor bei niedriger Komplexität und ohne vorab nötige Rechte. Eine Nutzer­inter­aktion bleibt Voraussetzung für den Angriff. Microsoft bewertet die möglichen Folgen für Vertraulichkeit, Integrität und Verfügbarkeit jeweils als hoch.

EUVD-2026-22643 / CVE-2026-33825

Sicherheitslücke in Microsoft Defender wird aktiv ausgenutzt

Der Angriffsweg über eine manipulierte Anfrage

Den Kern des Angriffs bildet eine manipulierte OAuth-Berechtigungsanfrage, die legitim wirkt. Bestätigt der Anwender diese Aktion, fordert die App in seinem Namen ein Zugriffstoken an und übermittelt es an einen vom Angreifer kontrollierten Endpunkt. Der betroffene Nutzer erkennt dabei nicht, dass das Token an einen vom Angreifer kontrollierten Endpunkt übermittelt wird.

Das offengelegte Token gehört zum Arbeitskonto des Nutzers. Über dieses Token erreichen Unbefugte sämtliche Dienste und Datenbestände, für die das Konto Rechte besitzt, darunter vertrauliche Unternehmensdaten. Der CVSS-Vektor markiert den Umfang als verändert (S:C). Eine erfolgreiche Ausnutzung reicht damit über den Sicherheitsbereich der verwundbaren Komponente hinaus und betrifft Ressourcen unter einer anderen Sicherheitsautorität. Dadurch fällt der Score höher aus.

Microsoft Patchday Mai 2026

137 Schwachstellen und vier wurmfähige Netzwerk-Anfälligkeiten

Korrigierte Apps für Android und iOS

Die fehlerbereinigten Apps liegen seit dem 14.05.2026 in den Stores zum Download. Unter Android behebt der Build 6.2605.2973 die Schwachstelle, neuere Versionen ebenso. Auf iOS gilt das ab Build 6.8.47. Geräte mit aktivierten automatischen App-Updates beziehen die neue Version ohne weiteres Zutun. Bei deaktivierter Automatik holen Anwender die aktuelle Fassung manuell aus dem Google Play Store oder dem App Store von Apple.

Den installierten Stand zeigt die App über den Pfad "Hilfe" -> "Info" -> "Version".

Zwei abweichende Risikobewertungen

Microsoft fungiert als zuständige CVE Numbering Authority (CNA) und bewertet das Risiko mit 9.6, also als kritisch. Das NIST vergibt im Eintrag der National Vulnerability Database (NVD) einen CVSS-Score von 7.4 und damit die Stufe hoch. Bei solchen Abweichungen empfiehlt sich die Herstellerbewertung als Maßstab für die Patch-Priorität, da der Hersteller die Schwachstelle am genauesten kennt. Nach Herstellerangaben liegt bislang kein öffentlich verfügbarer Exploit-Code vor, ein aktiver Missbrauch ist nicht bekannt. Das Missbrauchsrisiko schätzt der Hersteller als gering ein. Der hohe CVSS-Score spiegelt das technische Schadenspotenzial wider, nicht die Wahrscheinlichkeit einer aktiven Ausnutzung. Der Behebungsgrad steht auf offiziellem Fix, die Berichtszuverlässigkeit gilt als bestätigt.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Beyondtrust „Microsoft Vulnerabilities Report“ 2026

Weniger Microsoft-Schwachstellen, aber mehr kritische Sicherheitslücken

(ID:50855889)