Uma vulnerabilidade de segurança encontrada no aplicativo Microsoft Authenticator para Android representava um risco severo para contas corporativas, permitindo que softwares maliciosos sem nenhuma permissão no sistema conseguissem roubar tokens de autenticação.
Identificada sob o código CVE-2026-80097 e classificada com nota 8.6 em termos de gravidade, a falha já foi solucionada pela Microsoft na versão 6.2606.4246 do aplicativo, disponibilizada no mês passado. A recomendação da companhia é para que todos realizem a atualização imediata.
A descoberta da falha foi realizada pelo pesquisador Ofek Levin durante sua atuação em um programa de bolsa na empresa de segurança Enclave. De acordo com o relatório divulgado recentemente pela Enclave, o Authenticator executa funções no Android que vão muito além da simples geração de códigos numéricos de seis dígitos.
A ferramenta funciona como um gerenciador central de acesso, conhecido tecnicamente como “broker”. No momento em que precisam autenticar um usuário, programas como o Teams ou o Outlook demandam da plataforma um token, que atua como um passe digital atestando que o indivíduo está conectado.
Como a falha funcionava
O problema ocorria porque o Authenticator deixava exposto um componente interno chamado “AccountChooserActivity”, que tinha a capacidade de ser iniciado por qualquer programa instalado no aparelho. Quando um software malicioso ativava esse recurso, o aplicativo gerava o pedido de acesso com base nos dados enviados pelo invasor, inclusive o nome do programa que ele tentava simular, a exemplo do Teams.
A validação falhava porque o Authenticator se limitava a verificar se a assinatura digital do aplicativo indicado estava presente no smartphone. Visto que o Microsoft Teams original se encontrava instalado no celular, a checagem correta era localizada e a autorização era concedida erroneamente. O sistema identificava qual programa havia feito a solicitação real, mas desconsiderava essa informação no momento de liberar o passe de acesso.
Em simulações práticas executadas pelo time da Enclave, ao se passarem pelo Teams e demandarem conexões com a ferramenta Microsoft Graph, a plataforma fornecia permissões abrangentes. Isso englobava ler e enviar mensagens de e-mail, visualizar e alterar arquivos, além de manipular agendas corporativas.
Divergência sobre a exploração
Existe um descompasso entre os apontamentos da empresa de segurança e o posicionamento oficial da Microsoft no que diz respeito à complexidade para explorar a falha. A Enclave apontou em seu estudo que o método de prova de conceito conseguia resgatar os tokens de acesso sem nenhuma interação por parte da vítima, sendo necessário apenas que a conta estivesse conectada no gerenciador.
Em contrapartida, a desenvolvedora argumentou, por meio de um boletim oficial de segurança, que a exploração demandava a instalação prévia de um aplicativo malicioso no aparelho e que o usuário finalizasse um processo de autenticação dentro do próprio Authenticator. Em comunicado, a companhia pontuou que “a exploração bem-sucedida exige que um invasor convença o usuário a concluir um fluxo de autenticação”. A Microsoft qualificou a falha com menor probabilidade de ataque e informou a ausência de registros de exploração maliciosa antes da correção.
Como se proteger
Para neutralizar o risco relacionado à falha CVE-2026-80097, a medida primordial exigida consiste na atualização do aplicativo, conforme apontado pelo boletim oficial da Microsoft e pelo estudo da Enclave. Os usuários de celulares com o sistema operacional Android precisam checar a versão instalada no dispositivo e assegurar o uso da compilação 6.2606.4246 ou posterior, que pode ser encontrada na loja oficial de aplicativos. Companhias e corporações que administram frotas de smartphones corporativos também têm a opção de exigir essa versão mínima por intermédio de diretrizes de gerenciamento de dispositivos móveis.
What do you feel about this post?
Like
Love
Happy
Haha
Sad
