Enclave publicó el 23 de octubre de 2026 los detalles de una prueba de concepto para CVE-2026-80097, un fallo de Microsoft Authenticator para Android que, según su investigación, permitía a una aplicación sin permisos hacerse pasar por una app de Microsoft y obtener tokens de la cuenta de trabajo iniciada en Authenticator. La versión 6.2606.4246 o posterior es la corrección reportada.

Microsoft asignó el identificador CVE el 8 de septiembre de 2026, según informó The Hacker News. El fallo afecta a Authenticator para Android y es distinto de las vulnerabilidades de Windows que NeoTeo abordó en su artículo sobre el Patch Tuesday de octubre.

Cómo falló la comprobación de identidad

La demostración de Enclave, en inglés, muestra la suplantación de Microsoft Teams y la consulta de un buzón de prueba

Enclave señaló como componente vulnerable com.microsoft.identity.client.AccountChooserActivity, una actividad de Android marcada como exportada. Eso permitía que otra aplicación del dispositivo la iniciara. En la prueba de concepto de Enclave, una aplicación sin permisos de Android podía suplantar una app de Microsoft instalada y solicitar sus tokens.

La aplicación que iniciaba la actividad controlaba valores de la petición como el nombre y el paquete de la app, el identificador de cliente, la URI de redirección y los permisos solicitados. Enclave indicó que Authenticator leía el paquete real de la aplicación que hacía la llamada, pero no utilizaba esa identidad para decidir si debía confiar en la petición.

Qué tokens y permisos obtuvo Enclave

En la prueba de concepto, Authenticator devolvió tokens de acceso, de actualización y de identidad en texto sin cifrar, según Enclave. El alcance de los permisos dependía de la aplicación suplantada:

  • En la prueba que imitaba a Microsoft Teams para solicitar permisos de Microsoft Graph, Enclave obtuvo permisos para leer y enviar correo, modificar archivos y calendarios, enviar mensajes de chat y escribir en sitios de SharePoint. Entre los permisos enumerados estaban Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send y Sites.ReadWrite.All.
  • Al suplantar el backend de chat de Teams, la prueba obtuvo el permiso user_impersonation.
  • Al suplantar el cliente de Authenticator, Enclave informó de permisos como UserAuthenticationMethod.ReadWrite, Passkey.Create y Passkey.Delete.

Son resultados de casos de prueba distintos. La lista de permisos de una suplantación no describe el alcance de las demás.

Qué interacción requería el fallo

Enclave dijo que su prueba no necesitó interacción del usuario más allá de que Authenticator estuviera instalado y tuviera una cuenta de trabajo con sesión iniciada. The Hacker News atribuyó a Microsoft otra condición: que la víctima completara un flujo de autenticación en Authenticator. Las dos descripciones difieren sobre la interacción necesaria.

Qué versión corrige CVE-2026-80097

Enclave identificó como afectadas las versiones de Microsoft Authenticator para Android anteriores a la 6.2606.4246. The Hacker News informó que la versión 6.2606.4246 o posterior corrige el fallo; esa es la versión mínima reportada para actualizar.

The Hacker News informó el 27 de octubre que Microsoft había dicho que no había observado explotación del fallo en ataques. También indicó que CVE-2026-80097 no figuraba en el catálogo Known Exploited Vulnerabilities de la agencia estadounidense CISA a fecha de 26 de octubre de 2026.