CVE-2026-80097 : Authenticator Android vole vos tokens

Ce qui s'est passé

Le 25 octobre 2026, plusieurs équipes de recherche en sécurité — dont Cybersecurity News, GBHackers et Heise Security — ont divulgué publiquement CVE-2026-80097, une vulnérabilité haute sévérité (CVSS 8.6) dans Microsoft Authenticator pour Android. La faille réside dans le composant broker de l'application, ce mécanisme central qui sert d'intermédiaire entre les applications Microsoft installées sur l'appareil (Teams, Outlook, OneDrive) et les services d'identité Azure AD et Entra ID. Microsoft avait déjà publié un patch discret, mais la communauté sécurité n'avait pas encore pleinement mesuré la portée du problème avant ces divulgations coordonnées.

Au coeur de la vulnérabilité se trouve une Activity Android exportée à tort. Sur le système d'exploitation Android, les composants d'une application peuvent être déclarés accessibles depuis d'autres applications via le mécanisme IPC (Inter-Process Communication). Lorsqu'une Activity est déclarée avec l'attribut exported="true" sans vérification rigoureuse de l'identité de l'appelant, n'importe quelle application présente sur le même appareil peut l'invoquer. C'est précisément ce cas de figure qui conduit à CVE-2026-80097 : l'Activity vulnérable du broker Authenticator était accessible sans contrôle d'identité suffisant, une erreur de configuration aux conséquences disproportionnées.

Le scénario d'attaque est techniquement élégant dans sa simplicité. Une application malveillante peut se faire passer pour une application Microsoft légitime — Microsoft Teams étant l'exemple le plus cité par les chercheurs — et demander au broker Authenticator d'émettre des tokens délégués pour cette identité usurpée. La réponse du broker, destinée dans un scénario normal à Teams, est renvoyée à l'attaquant sous forme d'un paquet lisible contenant les access tokens, les refresh tokens, les ID tokens ainsi que des informations client complètes. L'ensemble de ces éléments permet à l'attaquant d'agir au nom de la victime sur tous les services Microsoft connectés, sans aucune interaction supplémentaire de sa part.

L'impact potentiel est particulièrement grave pour les environnements d'entreprise. Un access token valide donne accès immédiat à la messagerie Exchange, aux fichiers SharePoint, aux conversations Teams, aux espaces OneDrive et à l'ensemble des applications d'entreprise intégrées via Entra ID. Le refresh token, dont la durée de vie peut atteindre 90 jours dans les configurations par défaut, permet de renouveler l'accès indéfiniment sans que l'utilisateur n'ait à se réauthentifier. Un acteur malveillant disposant de ces tokens peut établir une persistance durable sur les ressources cloud de l'organisation, totalement invisible aux contrôles d'authentification habituels car l'accès apparait légitime.

La condition préalable à l'exploitation est que la victime ait utilisé Authenticator sur l'appareil concerné — ce qui est la norme dans tout environnement professionnel imposant le MFA. L'attaquant doit également avoir réussi à installer son application malveillante sur l'appareil, via le Google Play Store (application en apparence bénigne), via le sideloading sur un appareil non géré, ou via un MDM compromis. Aucune permission Android spécifique n'est requise par l'application malveillante, ce qui rend sa détection préventive par les contrôles de sécurité applicatifs traditionnels particulièrement difficile.

Microsoft a corrigé la vulnérabilité dans la version 6.2606.4246 d'Authenticator pour Android. Selon certaines sources techniques, la version 6.2605.2973 intègre également le correctif. La correction a consisté à renforcer la vérification de l'identité des appelants dans le composant broker, en s'assurant que seules les applications Microsoft signées avec les certificats appropriés peuvent demander l'émission de tokens délégués via l'Activity exportée. Microsoft a publié ce patch sans attendre le prochain Patch Tuesday, ce qui traduit la priorité accordée à cette remédiation.

Le score CVSS de 8.6 reflète la combinaison d'une exploitation relativement accessible (une simple application malveillante suffit, sans permissions spéciales) et d'un impact élevé sur la confidentialité et l'intégrité. La notation intègre le fait qu'une interaction utilisateur minimale est requise — l'utilisateur doit avoir effectué une séquence d'authentification sur l'appareil — ce qui place la vulnérabilité en haute sévérité plutôt que critique. Toutefois, dans un contexte professionnel ou Authenticator est utilisé quotidiennement, cette condition est quasi universellement remplie, effaçant en pratique cette nuance.

Les équipes MDM/EMM et les administrateurs Microsoft 365 doivent vérifier d'urgence les versions d'Authenticator déployées sur l'ensemble du parc Android géré. Les solutions Microsoft Intune, VMware Workspace ONE et JAMF Connect permettent d'imposer une version minimale de l'application et de bloquer l'accès aux ressources d'entreprise depuis les appareils non conformes via les politiques de Conditional Access d'Entra ID. Il est également recommandé d'analyser les journaux de connexion Entra ID des 30 derniers jours pour identifier d'éventuels accès inhabituels survenus avant le patch — connexions depuis des localisations atypiques ou accès à des services inhabituels pour un compte donné.

Pourquoi c'est important

Cette vulnérabilité illustre un paradoxe fondamental de la sécurité moderne : les composants déployés précisément pour renforcer la protection peuvent eux-mêmes devenir des vecteurs d'attaque. Le broker Authenticator a été conçu pour centraliser la gestion des tokens et simplifier l'expérience MFA. Cette centralisation, qualité d'ergonomie indéniable, crée simultanément un point de concentration du risque : une erreur dans ce composant a des répercussions sur l'ensemble de l'écosystème Microsoft de l'organisation, bien au-delà d'une application unique.

Le timing de la divulgation est particulièrement sensible dans le contexte de la généralisation du MFA obligatoire. Depuis 2023, Microsoft impose progressivement l'authentification multifacteur pour tous les accès M365 dans le cadre de sa Secure Future Initiative. Des millions d'entreprises ont déployé Authenticator comme colonne vertébrale de leur stratégie Zero Trust. CVE-2026-80097 démontre que le MFA, même correctement déployé, peut être contourné si l'application d'authentification elle-même est vulnérable — un vecteur que les SIEM et les systèmes de détection d'anomalies classiques ne déclencheront généralement pas, car les tokens volés génèrent des connexions qui semblent légitimes.

La récurrence de vulnérabilités dans les couches d'authentification mobile souligne la nécessité d'audits de sécurité approfondis et réguliers sur les applications les plus critiques. En 2024, plusieurs applications intégrant MSAL (Microsoft Authentication Library) avaient présenté des faiblesses liées à une mauvaise gestion des deeplinks. Ces incidents répétés démontrent qu'aucune application, même éditée par un acteur disposant d'équipes sécurité importantes, n'est immunisée contre les erreurs de configuration dans les composants d'infrastructure.

Pour les équipes de sécurité, CVE-2026-80097 doit aussi relancer la réflexion sur les politiques BYOD et la gestion des applications mobiles. Les appareils non enrôlés dans un MDM, ou des applications non vérifiées peuvent être installées librement, constituent une surface d'attaque significative pour ce type de vulnérabilité. Les politiques de Conditional Access d'Entra ID basées sur la conformité des appareils (device compliance) prennent ici tout leur sens : seuls les appareils gérés et conformes devraient pouvoir accéder aux ressources d'entreprise sensibles, indépendamment des credentials présentés.

Ce qu'il faut retenir

• Mettre à jour Microsoft Authenticator pour Android vers la version 6.2606.4246 ou supérieure en urgence — la mise à jour est disponible sur le Play Store et via les solutions MDM.
• Vérifier via Intune ou équivalent que tous les appareils d'entreprise sont à jour ; bloquer l'accès aux ressources M365 depuis les appareils non conformes via Conditional Access.
• Auditer les journaux de connexion Entra ID des 30 derniers jours pour détecter d'éventuels accès anormaux pouvant indiquer une exploitation de CVE-2026-80097 avant le patch.