Een kwetsbaarheid in Microsoft Authenticator voor zowel iOS Android CVE-2026-26123) kan ervoor zorgen dat uw eenmalige aanmeldingscodes of authenticatie-deep links worden gelekt naar een kwaadaardige app op hetzelfde apparaat.
Deep links zijn vooraf gedefinieerde URI's (Uniform Resource Identifiers) die directe toegang geven tot een activiteit in een web- of mobiele applicatie wanneer erop wordt geklikt. Eenvoudig gezegd zijn het speciaal geconstrueerde links die worden gebruikt om een app te openen en acties uit te voeren, zoals inloggen.
Microsoft Authenticator is een mobiele app die tijdgebonden eenmalige codes genereert en aanmeldingslinks en QR-gebaseerde aanmeldingen voor Microsoft- en andere accounts afhandelt. De app wordt veel gebruikt voor meervoudige authenticatie (MFA) op persoonlijke telefoons, waaronder BYOD-apparaten (Bring Your Own Device) die de toegang tot bedrijfs- en productiediensten beveiligen.
Deze kwetsbaarheid heeft gevolgen voor gebruikers die Microsoft Authenticator op een iOS Android hebben geïnstalleerd. Om misbruik te kunnen maken van deze kwetsbaarheid, moet de gebruiker eerst een kwaadaardige app op zijn apparaat installeren en vervolgens per ongeluk die app kiezen om een deep link voor aanmelding te verwerken.
Als dat gebeurt, ontvangt de kwaadaardige app de eenmalige code of aanmeldingsgegevens en kan deze deze mogelijk gebruiken om zich als het slachtoffer te authenticeren.
Als dit lukt, kan een aanvaller:
- Voltooi de aanmeldingsprocedures voor services die uw Microsoft Authenticator-codes vertrouwen.
- Toegang krijgen tot de informatie en diensten die beschikbaar zijn voor het gecompromitteerde account (e-mail, bestanden, cloudapps of productiesystemen in een BYOD-context).
- Schakel eventueel over naar extra accounts als die ook worden beschermd door codes die via Authenticator op hetzelfde apparaat worden geleverd.
Hoe blijf ik veilig
De oplossing voor CVE-2026-26123 is al opgenomen in de huidige releases, dus het installeren van updates is de meest effectieve maatregel.
- Op iOS: Open de App Store. Tik op de knop Mijn account of op je foto bovenaan het scherm. Scroll naar beneden om in behandeling zijnde updates en release-opmerkingen te bekijken. Tik op Update naast een app om alleen die app bij te werken, of tik op Alles bijwerken.
- Op Android: Open de Google Play Store-app. Tik rechtsboven op het profielpictogram. Tikop Apps en apparaat beheren. Tik onder 'Beschikbare updates'op Details bekijken. Tik naast de app die u wilt bijwerken opBijwerken. Als u al uw apps tegelijk wilt bijwerken, tikt u opAlles bijwerken.
Opmerking: Als de fabrikant van uw apparaat een andere methode heeft geïmplementeerd om app-updates toe te passen, kunnen de stappen enigszins afwijken.
Als u de app tijdelijk niet kunt bijwerken, installeer dan geen nieuwe apps die vragen om authenticatielinks, QR-gebaseerde aanmeldingen of web-naar-app-aanmeldingsstromen te verwerken.
Wanneer u QR-codes scant of op aanmeldingslinks tikt, controleer dan of de handler Microsoft Authenticator of een andere vertrouwde app is, en geen onbekende, recent geïnstalleerde of anderszins verdachte app.
Gebruik waar mogelijk alternatieve MFA-opties die u al vertrouwt (zoals ingebouwde authenticatie in uw wachtwoordbeheerder of platformspecifieke oplossingen zoals de wachtwoordfuncties van Apple) totdat u de update kunt toepassen.
Gebruik anti-malwarebescherming voor uw mobiele apparaten om kwaadaardige apps te detecteren.
We rapporteren niet alleen over telefoonbeveiliging - we leveren het ook
Cyberbeveiligingsrisico's mogen zich nooit verder verspreiden dan een krantenkop. Houd bedreigingen weg van uw mobiele apparaten door Malwarebytes voor iOS en Malwarebytes voor Android vandaag nog te downloaden.
