A Microsoft corrigiu uma falha em seu aplicativo Authenticator para Android que permitia que um aplicativo malicioso sem permissões se passasse por um aplicativo confiável da Microsoft, como o Teams, e coletasse tokens de login para a conta de trabalho da vítima.
A Microsoft rastreia a falha como CVE-2026-80097 e corrigi-lo no Authenticator para Android versão 6.2606.4246, portanto, qualquer pessoa que use o aplicativo deve atualizar.
Nos testes dos pesquisadores, os tokens deram acesso total ao e-mail, arquivos e calendário da conta. A Microsoft afirma que a exploração também exige que a vítima conclua uma etapa de login no Authenticator e que a falha não foi usada em ataques.
A pesquisa vem de Ofek Levin, que trabalha por meio de um programa de bolsas na empresa de segurança Enclaveque publicou os detalhes técnicos em 23 de outubro de 2026. A Microsoft atribuiu o CVE em 8 de setembro e avaliou-o com 8,6 na escala CVSS, que classifica como “Importante”.
No Android, o Authenticator faz mais do que mostrar códigos de seis dígitos. Ele também atua como um corretor: quando o Teams, o Outlook ou outro aplicativo da Microsoft precisa fazer login de um usuário, ele solicita ao Autenticador, e o Autenticador devolve um token, um passe digital que prova que o usuário está conectado.
A falha permitiu que o aplicativo errado conseguisse um. O autenticador expõe um componente, uma atividade chamada Atividade do Seletor de Contaque qualquer aplicativo no dispositivo pode ser iniciado. Quando o aplicativo do invasor o iniciou, o Authenticator criou sua solicitação de token a partir dos valores fornecidos pelo aplicativo do invasor, incluindo o nome do aplicativo que afirmava ser. O aplicativo dizia que era Teams e a corretora acreditou.
Uma verificação de assinatura deveria impedir isso, mas isso não aconteceu. A verificação procurou a assinatura real do aplicativo que estava sendo personificado e confirmou que a solicitação correspondia a ela. Como o Teams foi genuinamente instalado no dispositivo, sua assinatura real estava lá para ser lida, então a verificação foi aprovada.
O autenticador também pode ver qual aplicativo realmente fez a solicitação, descobriu o Enclave, mas não usou isso para decidir se entregaria um token.
https://www.youtube.com/watch?v=CK0ORanM5mQ
Nos testes do Enclave, se passar por Teams e solicitar tokens do Microsoft Graph retornaram permissões para ler e enviar e-mails, ler e gravar arquivos e ler e escrever calendários, entre outros.
A Microsoft descreve o resultado de forma mais geral: um invasor bem-sucedido pode se autenticar como o usuário conectado e acessar os recursos desse usuário. Os tokens se aplicam à conta corporativa conectada ao Authenticator nesse dispositivo, e não a outras contas.
Os dois relatos discordam num ponto que o leitor deve ponderar. A Enclave relatou que sua prova de conceito retornou tokens sem qualquer interação do usuário, exceto a presença de uma conta conectada.
O comunicado da Microsoft diz que a exploração requer a instalação de um aplicativo malicioso no dispositivo e a convicção do usuário a concluir um fluxo de autenticação no Authenticator. Sua pontuação CVSS também indica que a falha requer interação do usuário.
A Microsoft afirma que a falha não foi explorada e não foi divulgada publicamente antes da correção, e classifica a exploração como “menos provável”. Fazia parte da empresa Atualização de setembro de 2026, terça-feira e não foi uma das duas falhas do Windows sinalizadas naquele mês como já sob ataque. A vulnerabilidade não está listada no catálogo de vulnerabilidades conhecidas exploradas da CISA dos EUA em 26 de outubro de 2026.
A correção é atualizar o Microsoft Authenticator para Android para a versão 6.2606.4246 ou posterior, conforme link no comunicado da Microsoft. As organizações que gerenciam dispositivos Android podem exigir essa versão mínima por meio do gerenciamento de dispositivos. O comunicado da Microsoft fornece a correção, mas não diz se a atualização cancela qualquer token que um aplicativo malicioso já possa ter obtido, de modo que ainda não está claro nas fontes disponíveis.
