Microsoft ha rilasciato una patch di sicurezza per l'app Authenticator su Android, chiudendo una vulnerabilità che metteva a rischio gli account aziendali. A scoprire il problema sono stati i ricercatori di Enclave, che hanno dimostrato come un'app Android malevola potesse impersonare qualsiasi applicazione Microsoft e ottenere i token di autenticazione necessari per accedere all'account. La falla, tracciata come CVE-2026-80097, consente l'elevazione dei privilegi locali sui dispositivi configurati con un account di lavoro.
Come funzionava l'attacco
Il punto debole risiedeva nel broker di Microsoft Authenticator, il componente che gestisce autenticazione, mantenimento dei token e accesso Single Sign-On. Quando un'app fasulla si spacciava per Teams e inviava una richiesta ad Authenticator, quest'ultimo non verificava l'effettiva provenienza della richiesta. Il risultato: i token venivano consegnati all'app contraffatta senza alcuna interazione dell'utente, aprendo le porte all'account aziendale.
Le conseguenze potevano essere pesanti. Con i token in mano, un cybercriminale avrebbe potuto raggiungere altri servizi collegati tramite Microsoft Graph, come Outlook, OneDrive e SharePoint. Impersonando Teams si ottenevano autorizzazioni per leggere e scrivere email, inviare messaggi, accedere ai file e modificare i calendari. Un rischio particolarmente concreto per le organizzazioni che usano dispositivi Android per lavorare su Microsoft 365.
La correzione e cosa fare ora
Microsoft ha risolto il problema con la versione 6.2606.4246 di Authenticator per Android. La falla era stata sistemata l'8 settembre, ma solo ora è stata resa pubblica la descrizione tecnica del bug. Gli utenti e i reparti IT sono chiamati a aggiornare l'app tramite Google Play il prima possibile e a verificare che tutti i dispositivi gestiti utilizzino la versione corretta, per evitare che la vulnerabilità resti sfruttabile su terminali non aggiornati.
