CVE-2026-80097
CVSS 8.6 HIGH: improper authentication in Microsoft Authenticator allows an unauthorized attacker to elevate privileges locally. Patch Microsoft: Release Notes.
Vulnerabilità · 5 ore fa
Enclave ha individuato in Microsoft Authenticator per Android una falla che permetteva a qualsiasi app installata di impersonare un’app Microsoft e sottrarre token degli account di lavoro, senza permessi né intervento dell’utente. La vulnerabilità è CVE-2026-80097.
Authenticator agiva da broker di accesso, ma si fidava dell’identità dichiarata dall’app invece di verificare chi stesse chiamando. Un’app ostile già presente sul telefono poteva così spacciarsi per Teams e ricevere token senza avvisi, ottenendo accesso ai servizi Microsoft dell’utente.
Microsoft ha corretto la falla con la versione 6.2606.4246; quelle precedenti sono interessate. La patch non revoca i token già sottratti né rimuove un’eventuale passkey aggiunta dall’attaccante: l’accesso può sopravvivere alla rimozione dell’app. Il caso mostra che la fiducia di un broker nelle identità dichiarate dalle app è un confine di sicurezza distinto dal controllo delle credenziali.
CVSS 8.6 HIGH: improper authentication in Microsoft Authenticator allows an unauthorized attacker to elevate privileges locally. Patch Microsoft: Release Notes.
1 fonte che coprono questa storia
A Microsoft Authenticator vulnerability let any Android app steal work account tokens.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-27