Microsoft Authenticator היא האפליקציה שמאשרת כניסה לחשבונות עבודה ולחשבונות מיקרוסופט פרטיים, בדרך כלל בלחיצה על אישור או בהקלדת מספר שמופיע על המסך. בכל גרסה שקודמת ל-6.2606.4246 יש בה כשל באימות שמאפשרת לתוקף להסלים הרשאות על המכשיר עצמו. הציון הוא 8.6 מתוך 10, ולא ידוע על ניצול בשטח.

מה החולשה?

אימות הוא התהליך שבו רכיב בודק שמי שפונה אליו הוא באמת מי שהוא מציג את עצמו. באפליקציית אימות זה אינו עוד תפקיד מני רבים, זה התפקיד היחיד: כל קיומה הוא לעמוד בין מי שמנסה להיכנס לבין החשבון ולהגיד כן או לא. לכן כשל בבדיקה הזאת בתוכה הוא כשל בדיוק בנקודה שבה היא אמורה להיות חזקה. הסיווג הרשמי הוא CWE-287, אימות לקוי.

כאן צריך להיות ישרים לגבי מה שאין. הרשומה של NVD מסתכמת במשפט אחד, והוא מוסר את סוג הכשל ואת התוצאה ולא יותר מזה. היא אינה אומרת מה בדיוק נשבר בבדיקה, ואינה אומרת מה הפעולה שהמשתמש צריך לעשות כדי שהניצול יצליח.

מה שכן אפשר לקרוא הוא הדירוג, והוא מספר לא מעט. התקיפה מסומנת כמקומית, כלומר היא מחייבת גישה למכשיר עצמו ואינה מתבצעת מרחוק דרך הרשת. היא אינה דורשת מהתוקף הרשאות מוקדמות. היא כן דורשת שהמשתמש יעשה משהו בדרך. ושלושת סוגי הנזק, סודיות שלמות וזמינות, מדורגים כולם כגבוהים.

הפרט שמסביר את הציון הגבוה הוא סימון שינוי התחום: ההשפעה אינה נעצרת באפליקציה שבה הכשל יושב אלא חורגת ממנה הלאה. זה ההבדל בין באג שמשבש אפליקציה אחת לבין באג שמשמש כמנוף למשהו רחב יותר על המכשיר.

מי מושפע?

הרשומה נוקבת בגבול אחד: כל גרסה של Microsoft Authenticator שקודמת ל-6.2606.4246. אין בה פירוט של מערכות הפעלה, של דגמים או של תצורות, ולכן ההנחה הפשוטה היא הנכונה, מי שלא עדכן נמצא בטווח.

בישראל זאת אפליקציה נפוצה, ובעיקר דרך מקומות עבודה. ארגונים שעובדים עם Microsoft 365 מחייבים אימות דו-שלבי, וזאת האפליקציה שמגיעה עם זה כברירת מחדל. התוצאה היא שהרבה אנשים מחזיקים אותה בטלפון בלי שבחרו בה אי פעם במודע, ובלי שהם חושבים עליה כעל תוכנה שצריך לתחזק.

ומכיוון שהתקיפה מקומית, שווה לחדד למי זה באמת נוגע. הסיכון גדל כשהמכשיר יכול להגיע לידיים אחרות: טלפון שאבד או נגנב, מכשיר שמשותף עם מישהו, מכשיר שנמסר לתיקון במעבדה. בטלפון שנמצא אצלכם כל הזמן ומוגן בקוד נעילה המשוכה גבוהה יותר. היא אינה אפס, אבל היא גבוהה יותר.

האם מנוצלת בפועל?

לא, לא עד כה. החולשה אינה נמצאת בקטלוג ה-KEV, הרשימה שמנהלת סוכנות הסייבר האמריקאית CISA ושנכנסות אליה רק חולשות שאומת לגביהן שתוקפים כבר עושים בהן שימוש.

כדאי לקרוא את זה במידה הנכונה. היעדר דיווח אינו ראיה לכך שאין ניצול, הוא אומר רק שלא דווח. הרשומה פורסמה ב-8 בספטמבר 2026 ועודכנה לאחרונה ב-24 בספטמבר 2026, והסטטוס הזה הוא תמונת מצב ולא קביעה לתמיד. הדף הזה נבדק מול הקטלוג מדי יום, ואם המצב ישתנה הוא ישתנה כאן.

מה עושים?

1. פתחו את חנות האפליקציות בטלפון, חפשו את Microsoft Authenticator ובדקו אם מופיע לידה כפתור עדכון. אם מופיע, לחצו. זאת כל הפעולה והיא לוקחת פחות מדקה.

2. ודאו שאתם על 6.2606.4246 או מעליה. את מספר הגרסה אפשר לראות בדף האפליקציה בחנות, וגם בתוך האפליקציה עצמה במסך ההגדרות. מספר נמוך מזה אומר שהעדכון טרם הותקן אצלכם.

3. הדליקו עדכון אוטומטי לאפליקציה הזאת אם הוא כבוי אצלכם. אפליקציית אימות היא בדיוק הסוג שלא כדאי להשאיר לעדכון ידני פעם בכמה חודשים, כי היא שקטה ואף אחד לא נזכר בה.

4. אם המכשיר שעליו היא מותקנת אבד או נגנב, אל תסתפקו בעדכון, כי הוא אינו עוזר למכשיר שכבר אינו אצלכם. הסירו את החשבונות מאותו מכשיר דרך הגדרות החשבון אצל המעסיק או דרך חשבון מיקרוסופט הפרטי שלכם. החולשה הזאת מנוצלת מהמכשיר עצמו, ולכן מכשיר שאינו בידיכם הוא הנקודה שצריך לסגור.

5. מי שאחראי על ניהול מכשירים בארגון ימצא את הפרטים הרשמיים בדף שמיקרוסופט מקדישה לחולשה הזאת. אם יתווסף מידע על אופן הניצול, שם הוא יופיע.