A Microsoft corrigiu uma falha em seu aplicativo Authenticator para Android que permitia a um app malicioso, sem nenhuma permissão, se passar por um aplicativo confiável da empresa, como o Teams, e coletar tokens de login da conta de trabalho de uma vítima. Os tokens são credenciais digitais que comprovam que o usuário está conectado.
A empresa acompanha a falha como CVE-2026-80097, sigla de Common Vulnerabilities and Exposures (Vulnerabilidades e Exposições Comuns), que é o sistema de identificação de falhas de segurança. A correção foi lançada na versão 6.2606.4246 do Authenticator para Android, por isso todos os usuários do aplicativo devem atualizá-lo.
Nos testes dos pesquisadores, os tokens deram acesso total ao e-mail, aos arquivos e à agenda da conta. Segundo a Microsoft, a exploração também depende de a vítima concluir uma etapa de login no Authenticator, e a falha não foi usada em ataques até o momento.
A pesquisa foi feita por Ofek Levin, por meio de um programa de bolsas (fellowship) na empresa de segurança Enclave, que publicou os detalhes técnicos em 23 de outubro de 2026. A Microsoft atribuiu o CVE em 8 de setembro e classificou a falha com nota 8,6 na escala CVSS (Common Vulnerability Scoring System, ou Sistema Comum de Pontuação de Vulnerabilidades), na categoria “Importante”.
Como a falha funcionava
No Android, o Authenticator faz mais do que exibir códigos de seis dígitos. Ele também atua como um intermediário: quando o Teams, o Outlook ou outro aplicativo da Microsoft precisa autenticar um usuário, pede a autorização ao Authenticator, que devolve um token. Como esse intermediário controla o acesso à conta inteira, deveria ser cuidadoso ao decidir para qual aplicativo entrega um token.
A falha permitia que o aplicativo errado recebesse esse acesso. O Authenticator expõe um componente, uma atividade chamada AccountChooserActivity, que qualquer app instalado no aparelho pode acionar. Quando o app do invasor a iniciava, o Authenticator montava a solicitação de token com base em valores fornecidos pelo próprio app, incluindo o nome do aplicativo que ele afirmava ser. O app dizia ser o Teams, e o intermediário acreditava.
Uma verificação de assinatura digital deveria impedir isso, mas não funcionava. A checagem buscava a assinatura real do aplicativo que estava sendo imitado e confirmava se a solicitação correspondia a ela. Como o Teams estava de fato instalado no aparelho, sua assinatura verdadeira estava disponível para leitura, e a verificação era aprovada.
Segundo a Enclave, o Authenticator também conseguia identificar qual aplicativo tinha feito a solicitação, mas não usava essa informação para decidir se entregaria o token.
Alcance do acesso
Nos testes da Enclave, ao se passar pelo Teams e solicitar tokens do Microsoft Graph, o invasor obteve permissões para ler e enviar e-mails, ler e gravar arquivos e ler e gravar calendários, entre outras.
A Microsoft descreve o resultado de forma mais geral: um invasor bem-sucedido poderia se autenticar como o usuário conectado e acessar os recursos dele. Os tokens valem apenas para a conta de trabalho conectada ao Authenticator naquele aparelho, e não para outras contas.
As duas fontes divergem em um ponto que o leitor deve considerar. A Enclave relatou que sua prova de conceito obteve os tokens sem qualquer interação do usuário, além da presença de uma conta conectada. O comunicado da Microsoft afirma que a exploração exige a instalação de um aplicativo malicioso no aparelho e que o usuário seja convencido a concluir um fluxo de autenticação no Authenticator. A pontuação CVSS da empresa também indica que a falha requer interação do usuário.
Situação atual e correção
A Microsoft afirma que a falha não foi explorada e não foi divulgada publicamente antes da correção, e classifica a probabilidade de exploração como “menor”. Ela foi incluída nas correções da terça-feira de setembro de 2026, conhecida como Patch Tuesday (a atualização mensal de segurança da Microsoft), e não estava entre as duas falhas do Windows que, naquele mês, foram sinalizadas como já sob ataque. Até 26 de outubro de 2026, a vulnerabilidade não constava no catálogo de vulnerabilidades exploradas conhecidas da CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA).
A solução é atualizar o Microsoft Authenticator para Android para a versão 6.2606.4246 ou posterior, conforme o link indicado no comunicado da Microsoft. Organizações que gerenciam dispositivos Android podem exigir essa versão mínima por meio de seus sistemas de gerenciamento de aparelhos.
O comunicado da Microsoft informa a correção, mas não esclarece se a atualização invalida algum token que um aplicativo malicioso já tenha obtido. Essa questão permanece incerta com base nas fontes disponíveis.
