Il 23 ottobre 2026 Enclave ha descritto una prova di concetto per CVE-2026-80097, una vulnerabilità di Microsoft Authenticator per Android. Secondo la ricerca, un’app senza autorizzazioni Android poteva fingersi un’app Microsoft e ottenere token del conto di lavoro già configurato in Authenticator. Enclave indicava come coinvolte le versioni precedenti alla 6.2606.4246; la versione correttiva riportata è la 6.2606.4246 o una successiva.
Come Authenticator affidava i token all’app chiamante
Enclave ha attribuito il problema a com.microsoft.identity.client.AccountChooserActivity, un’attività Android esportata, cioè avviabile da un’altra app sul dispositivo. Secondo la ricostruzione del ricercatore, la richiesta poteva contenere valori forniti dal chiamante, fra cui nome e pacchetto dell’app, client ID, URI di reindirizzamento e ambiti di autorizzazione. Authenticator leggeva il pacchetto dell’app chiamante, ma non lo usava per decidere se fidarsi della richiesta.
Nella prova di concetto, un’app con zero autorizzazioni Android si spacciava per un’app Microsoft installata e riceveva token tramite Authenticator. La dimostrazione di Enclave mostra l’impersonificazione di Microsoft Teams e l’accesso a una casella di posta.
Quali token e autorizzazioni risultavano dalla dimostrazione
Enclave ha riferito che la prova restituiva in chiaro tre tipi di token: di accesso, di aggiornamento e ID. Nel caso di Microsoft Teams, la richiesta a Microsoft Graph comprendeva ambiti per leggere e inviare email, modificare file e calendari, inviare messaggi di chat e scrivere in SharePoint. Tra i nomi riportati figurano Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send e Sites.ReadWrite.All.
Gli altri test descritti da Enclave restituivano autorizzazioni diverse. L’impersonificazione del backend delle chat di Teams comprendeva user_impersonation; quella del client di Authenticator includeva, fra gli altri, UserAuthenticationMethod.ReadWrite, Passkey.Create e Passkey.Delete. Sono risultati riferiti a quei singoli test, non un elenco di autorizzazioni ottenute da ogni account.
Enclave e Microsoft descrivevano diversamente l’interazione richiesta
Enclave ha detto che la propria prova di concetto non richiedeva interazioni dell’utente oltre alla presenza di Authenticator con un conto di lavoro già connesso. Secondo quanto riportato da The Hacker News il 27 ottobre, invece, Microsoft indicava come requisito il completamento di un flusso di autenticazione da parte della vittima. Le due descrizioni della condizione d’interazione non coincidono.
Quale versione corregge CVE-2026-80097
Enclave indicava come vulnerabili le versioni di Microsoft Authenticator per Android precedenti alla 6.2606.4246. The Hacker News riportava che la versione 6.2606.4246 o successiva corregge il problema. Per chi usa l’app su Android, il riferimento pratico è quindi la versione installata rispetto a questa soglia.
CVE-2026-80097 riguarda Authenticator per Android. È un tema distinto dalle vulnerabilità di Windows affrontate nel resoconto di NeoTeo sul Patch Tuesday di Microsoft di ottobre.
Che cosa è stato riferito sullo sfruttamento
Il 27 ottobre The Hacker News riferì che Microsoft aveva dichiarato di non aver osservato attacchi che sfruttassero la vulnerabilità. La stessa testata riportò che CVE-2026-80097 non compariva nel catalogo Known Exploited Vulnerabilities della CISA statunitense al 26 ottobre 2026.
Secondo The Hacker News, Microsoft assegnò alla vulnerabilità il punteggio CVSS 8,6 e la classificazione “Important”. La pagina di Enclave riportava lo stesso punteggio numerico, ma usava la dicitura “High”.
