Uma vulnerabilidade de alta severidade, identificada como CVE-2026-80097, foi descoberta no Microsoft Authenticator para Android, com um CVSS de 8.6. Essa falha permite que aplicativos maliciosos, sem permissões declaradas, se façam passar por aplicativos confiáveis da Microsoft e roubem tokens de acesso de contas de trabalho devido a uma autenticação inadequada no componente broker do Authenticator.
O problema afeta dispositivos Android que possuem o Microsoft Authenticator instalado e uma conta de trabalho conectada. Um aplicativo não confiável pode invocar uma atividade exportada chamada com.microsoft.identity.client.AccountChooserActivity, solicitando tokens sem a necessidade de aprovação do usuário ou credenciais da conta. A validação de identidade do aplicativo solicitante é falha, permitindo que um atacante se passe por um aplicativo legítimo, como o Microsoft Teams.
A exploração ativa dessa vulnerabilidade foi confirmada por pesquisadores da Enclave, que demonstraram a possibilidade de emissão de tokens enquanto se passavam por diferentes identidades de cliente da Microsoft. A Microsoft lançou uma correção para essa falha na versão 6.2606.4246 do Microsoft Authenticator, disponível desde julho de 2026.
As organizações devem atualizar o aplicativo através do Google Play e monitorar atividades incomuns no Microsoft Graph, além de revisar controles de aplicativos móveis e restringir a instalação de aplicativos não autorizados.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews