Uma falha de segurança descoberta no aplicativo Microsoft Authenticator para Android colocava em risco contas corporativas ao permitir que aplicativos maliciosos sem nenhuma permissão no sistema roubassem tokens de autenticação. A vulnerabilidade, registrada sob o código CVE-2026-80097 e avaliada com nota 8.6 em gravidade, foi corrigida pela Microsoft na versão 6.2606.4246 do aplicativo, lançada no mês passado. A empresa orienta todos os usuários a realizarem a atualização imediata.
O problema foi descoberto pelo pesquisador Ofek Levin, que atuava por meio de um programa de bolsa na empresa de segurança Enclave. De acordo com o recém-publicado relatório da Enclave, o Authenticator faz mais no sistema Android do que apenas gerar códigos numéricos de seis dígitos.
O aplicativo atua como um gerenciador central de acesso, conhecido tecnicamente como “broker”. Quando precisam autenticar um usuário, softwares como o Teams ou o Outlook solicitam à plataforma um token, que funciona como um passe digital provando que a pessoa está logada.
A brecha ocorria porque o Authenticator expunha um componente interno chamado “AccountChooserActivity”, que podia ser iniciado por qualquer aplicativo presente no dispositivo. Quando um software malicioso acionava esse reccurso, o aplicaitvo criava a solicitação de acesso utilizando as informações fornecidas pelo invasor, incluindo o nome do programa que fingia ser, como o Teams.
A checagem de segurança falhava porque o Authenticator apenas conferia se a assinatura digital do aplicativo indicado existia no aparelho. Como o Microsoft Teams original estava instalado no celular, o registro correto era encontrado e a verificação passava por engano. O programa sabia qual aplicativo fez o pedido de verdade, mas ignorava esse dado na hora de entregar o passe de acesso.
Em testes práticos realizados pela equipe da Enclave, ao fingir ser o Teams e solicitar conexões com a ferramenta Microsoft Graph, o sistema retornava permissões amplas que incluíam ler e enviar e-mails, acessar e modificar arquivos, e manipular calendários corporativos.
Controvérsia sobre a interação necessária
Há uma divergência entre a descoberta da empresa de segurança e a posição oficial da Microsoft quanto à facilidade de exploração da falha. A Enclave relatou na pesquisa que o método de prova de conceito conseguia retornar os tokens de acesso sem nenhuma interação por parte da vítima, o que bastava apenas que a conta estivesse conectada no gerenciador.
Por outro lado, fabricante do sistema operacional e do aplicativo sustentou, em boletim oficial de segurança, que a exploração exigia a instalação prévia de um aplicativo malicioso no dispositivo e que a vítima concluísse um fluxo de autenticação dentro do próprio Authenticator. Em nota, a companhia pontuou que “a exploração bem-sucedida exige que um invasor convença o usuário a concluir um fluxo de autenticação”. A Microsoft classificou a falha como de menor probabilidade de ataque e sem registros de uso malicioso anterior à correção.
Como proteger o dispositivo
Para mitigar o risco associado à falha CVE-2026-80097, a principal medida exigida é a atualização do aplicativo, segundo o boletim oficial da Microsoft e o relatório da Enclave.
Os usuários de celulares com o sistema operacional Android devem verificar a versão instalada e garantir que utilizam a compilação 6.2606.4246 ou posterior, disponível na loja oficial de aplicativos. Organizações e empresas que gerenciam frotas de celulares corporativos também podem impor essa versão mínima por meio de políticas de gerenciamento de dispositivos móveis.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.