Atualização do Microsoft Authenticator fecha brecha que ameaçava contas corporativas

A versão 6.2606.4246 corrige a vulnerabilidade CVE-2026-80097, classificada como alta gravidade e ligada a dispositivos Android.

Uma atualização do Microsoft Authenticator para Android corrige uma vulnerabilidade que poderia expor tokens usados para acessar contas corporativas. A falha, identificada como CVE-2026-80097, recebeu nota 8,6 em gravidade no NVD; a Microsoft recomenda instalar a versão 6.2606.4246 ou posterior. O risco está ligado a um aplicativo malicioso já presente no aparelho e à forma como o autenticador valida pedidos de acesso.

O papel do Authenticator na conexão com serviços de trabalho

O Authenticator não serve apenas para gerar códigos temporários ou confirmar logins. Em dispositivos Android, também pode atuar como intermediário entre aplicativos Microsoft — como Teams e Outlook — e os serviços de identidade da empresa. Nessa função, ele entrega tokens, credenciais digitais que comprovam a sessão e permitem acessar recursos autorizados.

Segundo a investigação da empresa de segurança Enclave, a vulnerabilidade permitia que um aplicativo instalado no celular se apresentasse como um app Microsoft legítimo e tentasse obter esses tokens. A questão, portanto, não era descobrir a senha da vítima, mas explorar a confiança entre o aplicativo intermediário e o software que solicitava acesso.

O que poderia ficar ao alcance de um invasor

Nos testes relatados pela Enclave, a personificação de um aplicativo como o Teams permitiu solicitar tokens para serviços do Microsoft Graph. Dependendo das permissões associadas, isso poderia abrir caminho para acessar e-mails, arquivos e calendários corporativos. O alcance efetivo dependeria da conta e das autorizações disponíveis; não significa que todo usuário vulnerável teria automaticamente todos esses dados expostos.

A falha foi classificada pelo NVD como de autenticação inadequada com possibilidade de elevação local de privilégios. A pontuação alta reflete o potencial impacto sobre confidencialidade, integridade e disponibilidade, mas também considera que a exploração exige condições no próprio dispositivo e interação do usuário.

Microsoft e pesquisadores divergem sobre a interação

Há uma diferença importante entre a demonstração da Enclave e a descrição oficial da Microsoft. Os pesquisadores afirmaram que sua prova de conceito conseguiu obter tokens sem interação da vítima, desde que houvesse uma conta de trabalho conectada ao Authenticator. Já a Microsoft diz que o atacante precisa instalar um aplicativo malicioso e convencer a pessoa a concluir um fluxo de autenticação dentro do aplicativo.

As duas descrições apontam para a necessidade de um app malicioso no aparelho, mas não caracterizam da mesma maneira a participação da vítima. A Microsoft também informou que não havia registro de exploração maliciosa conhecida quando publicou o aviso. Assim, o caso deve ser entendido como uma vulnerabilidade corrigida, não como evidência de uma campanha em curso contra usuários.

Como reduzir o risco em celulares pessoais e corporativos

A medida prioritária é conferir a versão do Microsoft Authenticator no Android e atualizá-lo pela loja oficial para a compilação 6.2606.4246 ou mais recente. Empresas que administram celulares por ferramentas de gerenciamento podem verificar quais aparelhos ainda estão em versões anteriores e exigir a atualização como condição de acesso.

Também é prudente evitar instalar aplicativos de fontes desconhecidas e prestar atenção a solicitações de autenticação inesperadas. Se uma organização suspeitar de acesso indevido, deve revisar registros de login e atividade, revogar sessões ou tokens suspeitos e verificar se foram adicionados métodos de autenticação não reconhecidos. Essas medidas complementam a correção, mas não substituem a instalação da versão protegida.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: