Een kwetsbaarheid in Microsoft Authenticator voor beide iOS En Android ( CVE-2026-26123 ) kan uw eenmalige aanmeldcodes of authenticatie- deeplinks lekken naar een kwaadwillende app op hetzelfde apparaat.
Deep links zijn vooraf gedefinieerde URI's (Uniform Resource Identifiers) die directe toegang geven tot een activiteit in een web- of mobiele applicatie wanneer erop wordt geklikt. Eenvoudig gezegd zijn het speciaal geconstrueerde links die worden gebruikt om een app te openen en acties uit te voeren, zoals inloggen.
Microsoft Authenticator is een mobiele app die tijdgebonden eenmalige codes genereert en aanmeldingslinks en QR-gebaseerde aanmeldingen voor Microsoft- en andere accounts afhandelt. De app wordt veel gebruikt voor meervoudige authenticatie (MFA) op persoonlijke telefoons, waaronder BYOD-apparaten (Bring Your Own Device) die de toegang tot bedrijfs- en productiediensten beveiligen.
Deze kwetsbaarheid treft gebruikers die Microsoft Authenticator hebben geïnstalleerd op een computer. iOS of Android apparaat. Om de kwetsbaarheid te misbruiken, moet de gebruiker eerst een kwaadwillende app op zijn apparaat installeren en die app vervolgens per ongeluk selecteren om een deep link voor aanmelden af te handelen.
Als dat gebeurt, ontvangt de kwaadaardige app de eenmalige code of aanmeldingsgegevens en kan deze deze mogelijk gebruiken om zich als het slachtoffer te authenticeren.
Als dit lukt, kan een aanvaller:
- Voltooi de aanmeldingsprocedures voor services die uw Microsoft Authenticator-codes vertrouwen.
- Toegang krijgen tot de informatie en diensten die beschikbaar zijn voor het gecompromitteerde account (e-mail, bestanden, cloudapps of productiesystemen in een BYOD-context).
- Schakel eventueel over naar extra accounts als die ook worden beschermd door codes die via Authenticator op hetzelfde apparaat worden geleverd.
Hoe blijf ik veilig
De oplossing voor CVE-2026-26123 is al opgenomen in de huidige releases, dus het installeren van updates is de meest effectieve maatregel.
- Op iOS : Open de App Store. Tik op de knop 'Mijn account' of op je profielfoto bovenaan het scherm. Scroll naar beneden om de beschikbare updates en release-opmerkingen te bekijken. Tik op 'Update' naast een app om alleen die app bij te werken, of tik op 'Alles bijwerken '.
- Op Android : Open de Google Play Store-app. Tik rechtsboven op het profielpictogram. Tik op Apps en apparaat beheren . Tik onder 'Beschikbare updates' op Details bekijken . Tik naast de app die je wilt bijwerken op Bijwerken . Om al je apps tegelijk bij te werken, tik je op Alles bijwerken .
Opmerking: Als de fabrikant van uw apparaat een andere methode heeft geïmplementeerd om app-updates toe te passen, kunnen de stappen enigszins afwijken.
Als u de app tijdelijk niet kunt bijwerken, installeer dan geen nieuwe apps die vragen om authenticatielinks, QR-gebaseerde aanmeldingen of web-naar-app-aanmeldingsstromen te verwerken.
Wanneer u QR-codes scant of op aanmeldingslinks tikt, controleer dan of de handler Microsoft Authenticator of een andere vertrouwde app is, en geen onbekende, recent geïnstalleerde of anderszins verdachte app.
Gebruik waar mogelijk alternatieve MFA-opties die u al vertrouwt (zoals ingebouwde authenticatie in uw wachtwoordbeheerder of platformspecifieke oplossingen zoals de wachtwoordfuncties van Apple) totdat u de update kunt toepassen.
Gebruik anti-malwarebescherming voor uw mobiele apparaten om kwaadaardige apps te detecteren.
Oplichters weten meer over je dan je denkt.
Malwarebytes Mobile Security Beschermt je tegen phishing, frauduleuze sms'jes, kwaadwillende websites en meer. Met ingebouwde, realtime AI-gestuurde Scam Guard.
