Vulnerabilidade no Microsoft Authenticator para Android permite roubo de tokens corporativos

A Microsoft resolveu uma vulnerabilidade no Microsoft Authenticator para Android, identificada como CVE-2026-80097, que poderia ser explorada por aplicativos maliciosos sem permissões. Esses aplicativos poderiam se passar por softwares confiáveis da empresa, como o Teams, e acessar tokens de autenticação associados a contas corporativas da vítima.

A falha permitia que um aplicativo malicioso iniciasse o componente AccountChooserActivity do Authenticator, que normalmente controla a autenticação de usuários. Isso possibilitava a obtenção de tokens que dão acesso a e-mails, arquivos e calendários da conta comprometida. No entanto, a Microsoft informou que a exploração exigia que a vítima concluísse uma etapa de autenticação no aplicativo e não houve ataques registrados explorando a falha.

A vulnerabilidade foi descoberta pelo pesquisador Ofek Levin, durante um programa de fellowship da Enclave, e detalhes técnicos foram divulgados em 23 de outubro de 2026. A Microsoft classificou a falha como 'Importante', com pontuação CVSS de 8,6, e atribuiu o CVE em 8 de setembro. Usuários e organizações devem atualizar para a versão 6.2606.4246, que corrige a falha.