- Microsoft Authenticator para iOS e Android possui a vulnerabilidade CVE-2026-26123, que pode ser explorada após interação do usuário.
- O atacante precisa ter um aplicativo malicioso instalado no dispositivo e fazer com que o usuário escolha esse app como manipulador (handler) de um deep link de login.
- A ameaça pode ocorrer quando o usuário escaneia um código QR ou tocar em um link de login e, por engano, seleciona o app malicioso em vez do Authenticator.
- Caso o ataque seja bem-sucedido, o aplicativo malicioso pode receber dados de login e tentar autenticar como o usuário, abrindo acesso a serviços.
- A Microsoft classificou o risco como importante e orienta usuários a atualizar o aplicativo para a versão mais recente o quanto antes.
O que aconteceu, quem está envolvido e por quê: a Microsoft confirmou uma falha de segurança no Microsoft Authenticator para iOS e Android, identificada como CVE-2026-26123. O problema exige interação do usuário para ser explorado e pode ocorrer durante o login via QR code ou link de acesso.
A vulnerabilidade surge quando o usuário escolhe um aplicativo malicioso como manipulador de deep link de login, em vez do Microsoft Authenticator, durante o fluxo de autenticação. O incidente foi classificado pela Microsoft como de gravidade Importante, com potencial de expor credenciais de login.
Quem está envolvido: usuários do Microsoft Authenticator em dispositivos móveis e administradores de segurança interessados em políticas de gerenciamento de dispositivos móveis (MDM). O impacto, segundo a MSRC, depende da configuração do dispositivo e das escolhas do usuário.
Quando e onde ocorreu: a divulgação ocorreu em meio ao ciclo de atualizações de segurança Patch Tuesday, com atenção a vulnerabilidades recentes de software. A recomendação é aplicar a atualização mais recente do Authenticator o quanto antes, em iOS e Android.
Como se proteger: atualize o Microsoft Authenticator para a versão mais recente. usuários que utilizam 2FA devem considerar alternativas de autenticação oferecidas pelo gerenciador de senhas ou fluxos de autenticidade institucional conforme a política de BYOD. Administradores devem revisar políticas de MDM para mitigar cenários de uso indevido de apps de autenticação.
Recomendações adicionais: manter sistemas e apps atualizados, monitorar novidades de segurança da Microsoft e seguir orientações oficiais para evitar falsos positivos. A leitura completa do aval técnico da Microsoft ajuda a entender as etapas que podem levar a uma exploração e as medidas preventivas.
Matéria publicada originalmente em Forbes.
Entre na conversa da comunidade