Microsoft corrige falha no Authenticator para Android

Uma falha no Microsoft Authenticator para Android podia permitir que aplicativos maliciosos obtivessem tokens de acesso a contas corporativas. A Microsoft corrigiu o problema na versão 6.2606.4246, lançada no mês passado, e recomenda que os usuários atualizem o aplicativo para essa versão ou uma mais recente.

Registrada como CVE-2026-80097, a vulnerabilidade recebeu nota 8,6 de gravidade. Ela foi identificada pelo pesquisador Ofek Levin, em um trabalho ligado à empresa de segurança Enclave, cujo relatório descreveu como o aplicativo processa pedidos de autenticação feitos por outros programas.

Além de gerar códigos de verificação, o Authenticator funciona como intermediário de acesso, chamado de “broker”. Aplicativos como Teams e Outlook podem solicitar a ele tokens, que servem como credenciais digitais para comprovar que uma pessoa está autenticada e permitir o acesso a serviços da Microsoft.

A brecha envolvia um componente interno do Authenticator que podia ser acionado por outros aplicativos instalados no celular. Um programa malicioso podia iniciar uma solicitação e se apresentar como um aplicativo legítimo, como o Teams. O Authenticator verificava se o aplicativo alegado estava instalado, mas não usava adequadamente a informação sobre qual programa havia iniciado o pedido.

Nos testes descritos pela Enclave, uma solicitação que se passava pelo Teams conseguiu obter permissões para acessar recursos do Microsoft Graph. Entre as ações possíveis estavam ler e enviar e-mails, consultar e alterar arquivos e administrar calendários corporativos. Tokens desse tipo funcionam como passes digitais: quem os obtém pode acessar os serviços abrangidos pelas permissões concedidas.

A Enclave afirmou que sua prova de conceito conseguiu obter tokens sem interação da vítima, desde que a conta já estivesse conectada ao gerenciador. A Microsoft, por sua vez, informou que a exploração exigia a instalação prévia de um aplicativo malicioso e que o usuário concluísse um fluxo de autenticação no Authenticator. “A exploração bem-sucedida exige que um invasor convença o usuário a concluir um fluxo de autenticação”, afirmou a empresa.

A Microsoft classificou o risco de ataque como menos provável e disse não haver registros de exploração maliciosa antes da correção. A medida indicada para usuários de Android é verificar a versão do aplicativo na loja oficial e instalar a 6.2606.4246 ou posterior. Empresas que administram celulares corporativos também podem exigir uma versão mínima por meio de ferramentas de gerenciamento de dispositivos.

A atualização é a providência central para corrigir a falha; mudar de Android para iPhone ou remover a conta do aplicativo não substitui a instalação da versão corrigida. A recomendação se aplica ao Microsoft Authenticator, não a um número específico de versão do Android.