A Microsoft corrigiu uma falha no Microsoft Authenticator para Android que permitia a um aplicativo malicioso instalado no celular obter acesso a contas de trabalho sem pedir nenhuma permissão. Os detalhes da vulnerabilidade, registrada como CVE-2026-80097, foram divulgados em 27 de outubro de 2026, e a correção está na versão 6.2606.4246 do app, segundo o Help Net Security.
A atualização leva menos de um minuto, mas muita gente deixa o Authenticator parado por meses porque ele raramente pede atenção. Abaixo, o passo a passo para confirmar que o seu está protegido e o que revisar na conta depois.
Quem corre risco com a CVE-2026-80097
O problema afeta quem usa o Authenticator no Android com uma conta corporativa ou de escola conectada, aquela usada para entrar no Outlook, no Teams ou no OneDrive do trabalho. Nesses casos, o app funciona como intermediário de login dos outros programas da Microsoft no aparelho.
Segundo o The Hacker News, os tokens que poderiam ser desviados valem apenas para essa conta de trabalho. Os relatos publicados não citam o aplicativo para iPhone entre os afetados.
Para o ataque funcionar, um app malicioso precisava estar instalado no celular. Daí em diante, ele podia se apresentar como se fosse o Teams e receber as credenciais de acesso. A Microsoft afirma que não há registro de exploração da falha antes da correção.
Antes de começar: descubra qual versão está instalada
No Android, abra Configurações, toque em Apps, procure por Authenticator e role a tela até o fim. O número da versão aparece ali. Se for igual ou maior que 6.2606.4246, você já está protegido. Se for menor, siga os passos abaixo.
Atualização pela Play Store em seis passos
- Abra a Google Play Store.
- Toque na sua foto de perfil, no canto superior direito.
- Entre em Gerenciar apps e dispositivo.
- Toque em Atualizações disponíveis.
- Localize o Microsoft Authenticator e toque em Atualizar.
- Volte às configurações do Android e verifique se a versão mudou.
Para não depender de lembrar disso de novo, ative a atualização automática do app: na página do Authenticator na Play Store, toque nos três pontos e marque a opção correspondente. Faça o mesmo com Outlook, Teams e OneDrive, que dependem do Authenticator para entrar na conta da empresa e também recebem correções de segurança com frequência.
Onde a atualização costuma travar
A Play Store não mostra atualização
As versões são liberadas aos poucos. Feche a loja, limpe o cache dela em Configurações, Apps, Google Play Store, Armazenamento, e tente de novo algumas horas depois. Não instale o Authenticator a partir de arquivos APK de sites, mesmo que prometam a versão nova.
O celular é da empresa
Aparelhos gerenciados pela TI podem bloquear atualizações manuais. Nesse caso, avise o suporte interno e mencione a CVE-2026-80097: as equipes de segurança podem exigir a versão mínima por meio do sistema de gerenciamento de dispositivos.
O Android é antigo demais
Se a loja informa que o app não é compatível, o risco aumenta, porque o aparelho deixa de receber correções. Converse com a empresa sobre usar outro método de verificação até trocar de celular.
Depois de atualizar: três checagens na conta de trabalho
A atualização fecha a porta, mas não está claro se ela invalida acessos obtidos antes, como observa o The Hacker News. Por isso vale uma revisão rápida:
- Métodos de login: na página de informações de segurança da conta Microsoft do trabalho, veja se surgiu alguma chave de acesso (passkey) ou telefone que você não cadastrou. Pelo relato dos pesquisadores, um invasor podia criar uma passkey própria para continuar entrando.
- Apps instalados: remova do celular programas que você não reconhece ou que vieram de fora da Play Store.
- Alertas da empresa: se o e-mail corporativo mostrar mensagens enviadas que você não escreveu, avise a TI na mesma hora.
O mesmo cuidado com páginas e arquivos de origem duvidosa aparece no golpe da página falsa que ataca o celular ao ser aberta, um exemplo de como o primeiro passo dos criminosos costuma ser fazer a vítima instalar ou abrir algo.
Mensagem pedindo para reinstalar o Authenticator é golpe
Falhas que ganham repercussão viram isca. Desconfie de e-mails, SMS ou mensagens que mandam baixar “a versão segura” do Authenticator por um link. A única fonte legítima no Android é a Play Store, e a Microsoft não pede que você envie códigos de verificação para ninguém.
