2026年9月8日（米国時間）、MicrosoftはAndroid版の「Microsoft Authenticator」の脆弱性「CVE-2026-80097」を公表し、修正版を配布しました。10月23日に発見者による詳しい解説が公開され、10月26日にはXでも「速報」として改めて話題になりました。
当記事では、Microsoftの公式情報をもとに、何が問題だったのか、iPhone版や個人のアカウントは対象なのか、そして今やるべきことを整理します。
Microsoft Authenticatorの脆弱性「CVE-2026-80097」とは（2026年9月8日公表）
Microsoft公式の情報はこちら
Microsoftのセキュリティ更新プログラムガイド（MSRC）によると、CVE-2026-80097は「Microsoft Authenticator における権限昇格の脆弱性」で、2026年9月8日に公開されました。対象として載っている製品は「Microsoft Authenticator for Android」、つまりAndroid版だけです。
| 項目 | MSRCの記載（2026年10月27日時点） |
|---|---|
| 公開日 | 2026年9月8日（9月15日に修正版の番号を訂正） |
| 対象 | Android版のMicrosoft Authenticator（バージョン6.0.0から、6.2606.4246より前） |
| 修正版 | バージョン6.2606.4246以降 |
| 影響の種類 | 特権の昇格（本来できないことができるようになる） |
| 深刻度 | CVSS 8.6、Microsoftの評価は「重要」 |
| 悪用・一般公開 | どちらも「いいえ」 |
つまり、Android版を6.2606.4246以降に更新すれば、この問題は直るということです。なお、MSRCは9月15日に「修正したビルド番号を訂正した」（編集部訳）と改訂しているため、9月8日時点の情報をもとにした記事とは番号が違う場合があります。
>>CVE-2026-80097 Microsoft Authenticator における権限昇格の脆弱性（Microsoft セキュリティ更新プログラムガイド）
そもそもMicrosoft Authenticatorと「トークン」とは？
Microsoft Authenticatorは、Microsoftのアカウントにログインするときの本人確認（2段階認証やサインインの承認）に使うスマホアプリです。会社や学校のアカウント（Microsoft 365など）のログインに使うよう、勤め先から指示されている人も多いでしょう。
トークンとは、ログインに成功したあとに発行される「通行証」のようなデータです。トークンを持っていると、パスワードを入れ直さなくても、その人としてサービスを使えるため、他人に渡ると危険です。
Xの「速報」と、公式の公表日のずれ
2026年10月26日にXで拡散した投稿は「速報」とされていましたが、Microsoftがこの脆弱性を公表し、修正版を出したのは約7週間前の9月8日です。発見者が所属するEnclave（セキュリティの会社）が、10月23日に詳しい解説を公開したことで、改めて話題になったと考えられます。
新しく攻撃が始まったという話ではありませんが、アプリを長く更新していない人は対象のまま残っている可能性があります。この機会に確認しておきましょう。
何が問題だった？公式情報で分かったポイント3つ
MSRCの説明と発見者の解説から、知っておきたいポイントは3つです（攻撃の具体的な手順は、悪用を防ぐため当記事では書きません）。
1. 悪意のあるアプリにトークンを取られるおそれ
MSRCのよくある質問によると、攻撃者は、影響を受けるAndroid端末に悪意のあるアプリを入れて動かし、利用者にAuthenticatorでの認証を済ませるよう仕向けることで、この脆弱性を悪用できるとしています。
悪用に成功すると、トークンを手に入れ、その利用者としてデータなどにアクセスできるおそれがあると説明されています。MSRCは原因を「不適切な認証」としており、発見者の解説によると、Authenticatorが、トークンを求めてきた相手が本当に名乗ったとおりのアプリかどうかを確かめていなかったことが問題でした（編集部訳）。
2. 対象はAndroid版の6.2606.4246より前のバージョン
MSRC、CVE.org（脆弱性の番号を管理する公式の登録簿）、米国のNVD（脆弱性のデータベース）のいずれも、対象を「Android版のバージョン6.0.0から6.2606.4246より前」としています。MSRCの「更新プログラム」の欄は、Google Playのアプリのページを案内しています。
3. 「悪用された」という記載はない
2026年10月27日時点で、MSRCは「悪用された」「一般に公開されていた」のどちらも「いいえ」とし、今後悪用される可能性も「低い」と評価しています。CVSS（脆弱性の深刻さを0〜10で表す世界共通の点数）は8.6と高めですが、攻撃にはまず端末に悪意のあるアプリを入れる必要があります。
ただし、修正前のバージョンのままだと危険が残る点は変わりません。Androidで使っている人は、次の章を読みながら早めに更新しておきましょう。
iPhone版は対象？個人のアカウントは？よくある疑問
iPhone版のMicrosoft Authenticatorは対象？
MSRCで対象として載っているのはAndroid版だけで、iPhone版は対象の製品に入っていません（2026年10月27日時点）。発見者の解説もAndroid版についてのもので、iPhone版には触れていません。ただし、Microsoftが「iPhone版は影響を受けない」と書いているわけではなく、MSRCの対象に載っていないということです。
ただし、iPhone版のアプリも、更新が来ていれば最新にしておくのが基本です。
個人のMicrosoftアカウントだけで使っている人は？
MSRCには、会社・学校のアカウントか個人のアカウントかによる区別は書かれていません。発見者の解説では、Authenticatorに職場のアカウントが1つサインインしている端末を前提に、メール・ファイル・予定表を使えるトークンが取れたと説明しています（編集部訳）。
Microsoftの開発者向けの資料によると、Android版のAuthenticatorには「ブローカー」という部品が入っています。ブローカーは、会社や学校のアカウントで、端末の複数のアプリにまとめてログイン（シングルサインオン）するための仕組みです。個人のアカウントだけで使っている人が対象外かどうかは、公式の情報では確認できなかったため、どちらの人も更新しておきましょう。
>>Android でアプリ間のシングルサインオンを有効にする（Microsoft Learn）
何もしなくても盗まれる？「操作は不要」は本当？
Xでは「追加の承認操作は不要」という説明も広まりましたが、MSRCの説明では、攻撃には利用者にAuthenticatorでの認証を済ませるよう仕向けることが必要とされ、CVSSの評価でも「利用者の操作が必要」となっています。
一方で、発見者の解説では、テストでは職場のアカウントがサインインしていれば、それ以外に利用者の操作は必要なかったとしています（編集部訳）。公式と発見者で説明が分かれているため、当記事ではどちらとも断定しません。どちらにしても、知らないアプリを入れないことと、Authenticatorを最新にしておくことが対策になります。
AIは発見に関わった？
MSRCの謝辞（脆弱性を報告した人の名前）には、「Ofek Levin with Enclave」と書かれています。Enclaveは公式サイトで、自社を、自律的に動くセキュリティのエージェント（AI）を使って診断などを行う会社だと紹介しています。
ただし、今回の脆弱性を見つけるのにAIをどう使ったか、そもそも使ったのかは、MSRCにも発見者の解説にも書かれていません。AIが見つけたという意味ではない点に注意しましょう。
>>「AuthMask：Microsoft Authenticatorに、権限のないアプリへトークンを渡させた」（編集部訳。Enclave 公式ブログ・英語・2026年10月23日）
Androidで使っている人が今やること
Google PlayでAuthenticatorを更新する
Googleのヘルプで案内されている、Androidのアプリを手動で更新する手順は次のとおりです。
- 「Google Play ストア」アプリを開く
- 右上のプロフィールアイコンをタップする
- ［アプリとデバイスの管理］をタップする
- ［アップデート利用可能］で［詳細を表示］をタップする
- 「Authenticator」が一覧にあれば、横にある［更新］をタップする
Google Playの「Authenticator」のページを直接開いて、更新できるか確かめる方法もあります。
>>Microsoft Authenticator（Google Play）
>>Android でアプリを更新する方法（Google Play ヘルプ）
自動更新をオンにしておく
同じヘルプによると、アプリの［詳細］ページの「その他」アイコンから［自動更新の有効化］をオンにすると、そのアプリが自動で更新されます。認証アプリのように大事なアプリは、自動更新をオンにしておくと安心です。
知らないアプリを入れない・会社の案内に従う
MSRCの説明どおり、この脆弱性はまず端末に悪意のあるアプリが入っていることが前提です。提供元のよく分からないアプリや、Google Play以外から入手したアプリを入れないようにしておきましょう。
会社や学校から支給されたAndroid端末の場合は、端末の管理者（情報システム部門など）が更新を管理していることもあります。勤め先からの案内があれば、それに従いましょう。
認証アプリまわりでは、Google認証システムの「同期」をオンにするかオフにするかも話題になっています。別の話ですが、あわせて確認しておくと安心です。
▶ 関連記事：Google Authenticatorの同期は危険？Google認証システムのオン・オフのリスクと設定
▶ 関連記事：AIでサイバー攻撃を自動化！Microsoftが中国政府系とみられるグループの手口を公表、個人の対策は
※2026年10月27日時点・Microsoft セキュリティ更新プログラムガイド（CVE-2026-80097、2026年9月8日公開・9月15日改訂）、CVE.org、NVD、Microsoft Learn、Google Play ヘルプ、Enclave 公式ブログ・公式サイトより
【まとめ】Android版のMicrosoft Authenticatorは6.2606.4246以降に更新を
CVE-2026-80097は、Android版のMicrosoft Authenticatorで、悪意のあるアプリにトークンを取られるおそれがあった脆弱性で、Microsoftは2026年9月8日に修正版を出しています。悪用の報告はありませんが、Androidで使っている人は、Google Playから更新をチェックしておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月27日時点のものです。
