CVE-2026-80097: falha no Microsoft Authenticator
A CVE-2026-80097 é uma vulnerabilidade de alta gravidade no Microsoft Authenticator para Android que poderia permitir a um aplicativo sem permissões obter tokens de uma conta corporativa conectada ao aparelho. Segundo pesquisa da Enclave AI, a falha envolvia uma atividade exportada do broker de autenticação e afetava versões anteriores à 6.2606.4246. A Microsoft corrigiu o problema e orienta a atualização imediata do aplicativo.
Em resumo: atualize o Microsoft Authenticator no Android e, em ambientes corporativos, verifique sessões, dispositivos e políticas de acesso após a correção.
Tabela de conteúdos
O que aconteceu na CVE-2026-80097
A análise, publicada em 23 de outubro de 2026 pelo pesquisador Ofek Levin, descreve uma falha apelidada de AuthMask. O Microsoft Authenticator expunha a atividade AccountChooserActivity como exportada no Android. Na prática, isso permitia que outro app instalado no mesmo celular a abrisse e enviasse parâmetros de autenticação.
O ponto crítico não era apenas a abertura da atividade. A validação aceitava informações declaradas pelo próprio aplicativo solicitante como pacote, identificador de cliente e URI de redirecionamento — sem confirmar adequadamente a identidade real de quem iniciou a solicitação. Assim, um app malicioso poderia se passar por um aplicativo Microsoft instalado, como o Microsoft Teams.
Qual era o impacto para contas Microsoft 365
Quando havia uma conta de trabalho autenticada no broker, a exploração podia devolver tokens de acesso, tokens de atualização e tokens de identidade ao app chamador. A pesquisa relata que os dados retornavam em texto simples no resultado da atividade. Dependendo do cliente impersonado e dos escopos autorizados, o impacto alcançava serviços do Microsoft Graph.
- Leitura, envio e alteração de e-mails corporativos.
- Acesso delegado a arquivos e calendários.
- Interação com recursos ligados ao Microsoft Teams.
- Risco de abuso de métodos de autenticação da conta.
Por que a falha era grave
A CVE-2026-80097 não exigia que a vítima concedesse permissões ao aplicativo atacante. Bastava que o Microsoft Authenticator estivesse instalado e tivesse uma conta corporativa conectada, segundo o relato técnico.
Correção da Microsoft e versões afetadas
A Microsoft confirmou a vulnerabilidade por meio do Microsoft Security Response Center (MSRC) e publicou a correção em 8 de setembro de 2026. O boletim classifica a CVE-2026-80097 como elevação de privilégio, com CVSS 8,6 (alta), e a relaciona à CWE-287, de autenticação inadequada. De acordo com a Enclave AI, versões do Microsoft Authenticator para Android anteriores à 6.2606.4246 são afetadas.
O ponto de falha era confiar na identidade informada na requisição, e não confirmar que o aplicativo real que a iniciou era aquele que alegava ser.
Como se proteger no Android
- Atualize o Microsoft Authenticator pela Google Play e confirme uma versão corrigida.
- Remova aplicativos desconhecidos, especialmente em celulares usados para trabalho.
- Revise dispositivos conectados e sessões ativas da conta Microsoft 365.
- Administradores devem reforçar MDM, acesso condicional e monitoramento de atividades anômalas.
Como precaução adicional, empresas devem avaliar a revogação de sessões em aparelhos que permaneceram vulneráveis. Essa medida não substitui a atualização, mas reduz a janela para uso indevido de tokens que eventualmente tenham sido expostos.
Perguntas Frequentes sobre a CVE-2026-80097: falha no Microsoft Authenticator
Quem precisa atualizar o Microsoft Authenticator?
Usuários do Android devem atualizar o aplicativo imediatamente. A correção indicada pela pesquisa abrange versões posteriores à 6.2606.4246, afetadas pela CVE-2026-80097.
A CVE-2026-80097 afeta contas pessoais?
O cenário descrito depende de uma conta conectada ao broker. O impacto mais grave relatado envolve contas corporativas e tokens delegados para serviços Microsoft 365.
O app malicioso precisava de permissões no Android?
Não. A pesquisa AuthMask afirma que um aplicativo sem permissões podia acionar a atividade exportada e tentar obter tokens da conta de trabalho.
O que empresas devem fazer após a atualização?
Além de atualizar o Microsoft Authenticator, revise dispositivos, sessões e alertas de acesso. Ambientes gerenciados devem aplicar MDM e políticas de acesso condicional.
Considerações finais
A CVE-2026-80097 evidencia um risco relevante em integrações de autenticação no Android: validar dados declarados por um aplicativo não equivale a validar sua identidade. Para usuários, a prioridade é instalar a atualização do Microsoft Authenticator. Para organizações, o caso reforça a necessidade de gestão de dispositivos, revisão de sessões e resposta rápida a boletins do MSRC.
Fontes: pesquisa AuthMask, Enclave AI; boletim CVE-2026-80097, Microsoft MSRC.
