Microsoftは、Microsoft Teams for Androidに存在する情報漏洩の脆弱性に対し、セキュリティ更新プログラムをリリースしました。この脆弱性を悪用されると、権限を持つ攻撃者がネットワーク経由で機密データを露出させる可能性があります。
CVE-2026-65812として追跡されているこのセキュリティ問題は「重要（Important）」と評価されており、Microsoftは2026年9月8日に公表しました。
この脆弱性はCWE-201「送信データへの機密情報の挿入」に分類されます。この種の脆弱性は、アプリケーションが十分な保護策を講じないまま、機密情報を他のシステムやエンドポイントへ送信するデータに含めてしまうことで発生します。
Teams for Androidのケースでは、悪用に成功すると認証情報が漏洩する可能性があり、本来ネットワーク通信中に露出してはならない認証関連の情報へ攻撃者がアクセスできてしまう恐れがあります。
Microsoftのアドバイザリによると、この問題はMicrosoft Teams for Androidに影響し、修正版のアプリケーションビルドは1416/1.0.0.2026133602とされています。
組織およびユーザーは、Google Playストアまたは自社の企業向けモバイルアプリケーション管理プラットフォームを通じてTeamsを更新し、このセキュリティ修正を適用する必要があります。
Microsoftの悪用可能性評価によると、悪用の可能性は「Exploitation Less Likely（悪用の可能性は低い）」とされています。また同社は、この脆弱性がセキュリティ更新の公開前に一般に開示されておらず、公表時点で実際に悪用された事例も確認されていないとしています。
こうした要因により当面のリスクは低減されるものの、パッチ適用を急ぐ必要がなくなるわけではありません。特に、業務上のメッセージング、会議、ファイル共同作業、IDと連携したワークフローにTeamsを利用している組織では注意が必要です。
この脆弱性の悪用には権限を持つ攻撃者が必要であり、つまり攻撃者は悪用を試みる前に、対象環境やアプリケーションのコンテキストに対する正当なアクセス権をあらかじめ持っている必要があります。この要件により、インターネット経由の未認証攻撃者による日和見的な攻撃はある程度制限されると考えられます。
しかし、内部脅威、侵害済みアカウント、悪意のあるモバイルアプリケーション、あるいはすでに企業環境への足がかりを得ている攻撃者は、認証情報やその他の機密送信データを露出させるこうした脆弱性を悪用できる可能性があります。
認証情報の漏洩は、企業向けコラボレーションプラットフォームにおいて特に重大な問題です。Teamsは一般にMicrosoft Entra IDの資格情報と連携しており、会話内容、共有ファイル、会議の詳細、業務上の連絡先、連携されたMicrosoft 365リソースへのアクセスを提供している場合があります。
認証情報や認証関連データが漏洩した場合、攻撃者はアカウントの乗っ取りを試みたり、組織内を横方向に移動したり、盗んだ情報を後続のフィッシングやソーシャルエンジニアリング活動に利用したりする可能性があります。
セキュリティチームは、管理下にあるAndroidデバイスが更新済みのTeamsビルドを受信していることを確認するとともに、アプリケーション更新が遅延・ブロックされていないかモバイルデバイスのコンプライアンスポリシーを見直す必要があります。
管理者はモバイルデバイス管理（MDM）のテレメトリを活用し、古いバージョンのTeamsを実行しているデバイスを特定した上で、必要に応じて是正措置を求めることができます。
組織はまた、多要素認証、条件付きアクセスポリシー、セッション監視、認証情報の漏洩が疑われる場合の迅速な失効手続きなど、強固なID管理体制を維持しておく必要があります。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを導入し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/microsoft-teams-for-android-flaw-2/
