Microsoft ha rilasciato una patch per la vulnerabilità CVE-2026-80097 dell’app Authenticator per Android. Il bug, scoperto dagli studiosi di Enclave, permetteva a un’app Android di impersonare qualsiasi applicazione Microsoft e di ottenere i token di autenticazione per accedere all’account di lavoro.
La falla, identificata come CVE-2026-80097, era concentrata nel broker di Microsoft Authenticator, il modulo che gestisce l’autenticazione, il mantenimento dei token e l’accesso Single Sign-On (SSO). Il componente non controllava adeguatamente la provenienza delle richieste, consentendo a un’app fasulla di ricevere i token destinati all’app legittima.
Un esempio pratico era l’impersonificazione di Microsoft Teams. L’app falsa invia una richiesta all’Authenticator, che, non verificando la provenienza, fornisce i token di autenticazione. Il criminale può quindi accedere a servizi collegati come Outlook, OneDrive o SharePoint tramite Microsoft Graph. La vulnerabilità permette la lettura e la scrittura di email, l’invio di messaggi, l’accesso a file e la modifica dei calendari.
Il rischio è particolarmente alto per le organizzazioni che utilizzano dispositivi Android per accedere a Microsoft 365. L’azienda di Redmond ha risolto il problema con la versione 6.2606.4246 di Microsoft Authenticator per Android, disponibile su Google Play dal 8 settembre 2026. Gli utenti e le organizzazioni sono invitati ad aggiornare l’app il prima possibile e a verificare che i dispositivi gestiti utilizzino la versione corretta.
