Die Untersuchung stammt von Ofek Levin, der über ein Fellowship-Programm der Sicherheitsfirma Enclave arbeitete. Enclave veröffentlichte die technischen Details am 23. Oktober 2026. Microsoft vergab die CVE-Nummer am 8. September und bewertete die Lücke mit 8,6 auf der CVSS-Skala, eingestuft als „Important". Der Fehler war Teil des Patch Tuesday vom September 2026 und gehörte nicht zu den beiden Windows-Lücken, die in diesem Monat als bereits angegriffen markiert wurden. Im US-Katalog bekannter ausgenutzter Schwachstellen (CISA KEV) war sie mit Stand 26. Oktober 2026 nicht verzeichnet.

Unter Android zeigt der Authenticator nicht nur sechsstellige Codes an, sondern arbeitet auch als Broker: Wenn Teams, Outlook oder eine andere Microsoft-App einen Nutzer anmelden muss, fragt sie den Authenticator, der daraufhin ein Token zurückgibt – einen digitalen Nachweis, dass der Nutzer angemeldet ist. Da der Broker damit den Zugang zum gesamten Konto kontrolliert, muss er sorgfältig prüfen, welcher App er ein Token aushändigt.

Genau das misslang. Der Authenticator stellt eine Komponente bereit, eine Activity namens AccountChooserActivity, die jede App auf dem Gerät starten kann. Startete die Angreifer-App sie, baute der Authenticator seine Token-Anfrage aus Werten zusammen, die die Angreifer-App lieferte – einschließlich des Namens der App, als die sie sich ausgab. Die App behauptete, Teams zu sein, und der Broker glaubte es.

Eine Signaturprüfung hätte das verhindern sollen, griff aber nicht: Sie schlug die echte Signatur der imitierten App nach und bestätigte, dass die Anfrage dazu passte. Weil Teams auf dem Gerät tatsächlich installiert war, ließ sich dessen echte Signatur auslesen – die Prüfung ging durch. Enclave stellte zudem fest, dass der Authenticator durchaus erkennen konnte, welche App die Anfrage tatsächlich gestellt hatte, diese Information bei der Entscheidung über die Token-Ausgabe aber nicht heranzog.

In den Tests von Enclave lieferte das Vorgehen – Auftreten als Teams und Anforderung von Tokens für Microsoft Graph – unter anderem Berechtigungen zum Lesen und Versenden von E-Mails, zum Lesen und Schreiben von Dateien sowie zum Lesen und Schreiben von Kalendern. Microsoft beschreibt die Folge allgemeiner: Ein erfolgreicher Angreifer könne sich als der angemeldete Nutzer authentifizieren und auf dessen Ressourcen zugreifen. Betroffen ist das auf dem jeweiligen Gerät im Authenticator angemeldete Arbeitskonto, nicht andere Konten.

In einem Punkt widersprechen sich beide Darstellungen: Enclave berichtet, der Proof of Concept habe Tokens ohne jede Nutzerinteraktion zurückgegeben – abgesehen davon, dass ein Konto angemeldet war. Microsofts Sicherheitshinweis nennt dagegen als Voraussetzung, dass eine bösartige App auf dem Gerät installiert und der Nutzer dazu gebracht wird, einen Authentifizierungsvorgang im Authenticator abzuschließen; auch die CVSS-Bewertung weist auf erforderliche Nutzerinteraktion hin.

Nach Angaben von Microsoft wurde die Schwachstelle nicht ausgenutzt und vor dem Fix nicht öffentlich bekannt gemacht; eine Ausnutzung wird als „weniger wahrscheinlich" eingestuft.

Als Abhilfe dient das Update auf Microsoft Authenticator für Android in Version 6.2606.4246 oder neuer, wie im Sicherheitshinweis von Microsoft verlinkt. Organisationen, die Android-Geräte verwalten, können diese Mindestversion über ihr Gerätemanagement erzwingen. Ob ein Update bereits erbeutete Tokens ungültig macht, geht aus dem Hinweis nicht hervor und bleibt damit offen.