Une faille critique dans Microsoft Authenticator sur Android permet le vol de jetons d'authentification

Une vulnérabilité critique a été identifiée dans l’application Microsoft Authenticator sur Android, exposant les utilisateurs à un risque de vol de jetons d’authentification. Cette faille, référencée sous l’identifiant CVE-2026-80097, a reçu une note de 8,6 sur 10 dans l’échelle CVSS 3.1, ce qui en fait une menace particulièrement sérieuse.

La faille a été découverte par la société de cybersécurité Enclave, qui a publié les détails techniques de la vulnérabilité le 23 octobre 2026. Selon les recherches d’Enclave, une application malveillante installée sur un appareil Android pouvait se faire passer pour une application officielle de Microsoft, comme Teams, et induire Microsoft Authenticator à lui transmettre les jetons d’authentification du compte professionnel connecté.

Des conséquences graves sur la sécurité des données

Les jetons d’authentification obtenus via cette faille pouvaient être utilisés pour accéder directement à divers services Microsoft sans nécessiter de mot de passe ni authentification à deux facteurs. Selon les tests menés par Enclave, un attaquant pouvait accéder à la boîte e-mail, aux fichiers stockés sur OneDrive et SharePoint, ainsi qu’à l’agenda d’un utilisateur. De plus, l’attaquant pouvait même créer ou supprimer des clés d’accès (passkeys), lui permettant de conserver un accès persistant au compte même après la désinstallation de l’application malveillante.

La vulnérabilité exploitait une faille dans la manière dont Microsoft Authenticator gérait les demandes d’authentification. Sur Android, l’application sert d’intermédiaire lorsque d’autres applications comme Teams ou Outlook souhaitent se connecter. Cependant, une partie d’Authenticator pouvait être lancée par n’importe quelle application du téléphone, vérifiant uniquement que la demande correspondait à une application officielle installée, dont les informations sont accessibles à toutes applications, sans confirmer l’identité réelle de l’expéditeur de la requête.

Une correction déjà disponible

Microsoft a publié un avis de sécurité concernant cette vulnérabilité le 8 septembre 2026, sous la référence CVE-2026-80097. Toutes les versions d’Microsoft Authenticator antérieures à la version 6.2606.4246 sont concernées par cette faille. La version corrigée était cependant disponible dès juillet 2026, avant même la publication officielle de l’avis de sécurité.

Pour se protéger, les utilisateurs sont invités à mettre à jour Microsoft Authenticator depuis le Play Store et à vérifier que la version installée est au moins égale à 6.2606.4246. Les administrateurs informatiques gérant des appareils professionnels devraient imposer cette version minimale via leurs outils de gestion de flotte.

Des précautions supplémentaires recommandées

Au-delà de la mise à jour de l’application, des mesures de sécurité de base sont recommandées pour protéger les appareils Android. Il est conseillé d’éviter d’installer des applications provenant de sources non officielles, et même sur le Play Store, des versions falsifiées d’applications populaires comme WhatsApp ou Chrome ont déjà été découvertes.

Microsoft Authenticator, disponible pour Android et iOS, permet aux utilisateurs d’effectuer une authentification à deux étapes pour de nombreux services. L’application peut également générer des codes de vérification temporaire pour les connexions et permettre l’accès à certains services Microsoft sans saisie de mot de passe.

La découverte de cette faille souligne l’importance de maintenir ses applications à jour, surtout celles liées à la sécurité et à l’authentification. Les utilisateurs doivent faire preuve de vigilance quant aux applications qu’ils installent sur leurs appareils, car une application malveillante peut exploiter des vulnérabilités dans des applications légitimes pour accéder à des données sensibles.