Une faille de sécurité importante dans Microsoft Authenticator pour Android pouvait permettre à une application malveillante installée sur le téléphone de récupérer des jetons d’accès à des comptes Microsoft professionnels, sans demander de mot de passe ni de nouvelle validation à la victime. Baptisée AuthMask, la vulnérabilité CVE-2026-80097 a été corrigée dans la version 6.2606.4246. Les utilisateurs et les entreprises doivent vérifier que leur application est à jour.
Article du 28 octobre 2026. Le correctif était disponible avant la publication des détails techniques du 23 octobre ; les découvertes ont été rendues publiques par Enclave et confirmées dans un avis de Microsoft.
Ce qu’il faut retenir
- CVE-2026-80097, dite AuthMask : faille évaluée à 8,6/10 sur l’échelle CVSS.
- La vulnérabilité concerne Microsoft Authenticator sur Android, dans les versions antérieures à 6.2606.4246.
- Une application malveillante locale pouvait obtenir des jetons de session liés à un compte professionnel en se faisant passer pour une application Microsoft autorisée.
- Les jetons volés peuvent permettre d’accéder à des services comme Outlook, Teams ou des fichiers Microsoft 365, selon les droits du compte.
- Le problème est corrigé : la mesure prioritaire consiste à mettre à jour l’application depuis Google Play.
Microsoft Authenticator : que permettait la faille AuthMask ?
Microsoft Authenticator sert notamment à confirmer l’identité d’un utilisateur et à gérer les connexions aux services Microsoft. Sur Android, certaines applications d’entreprise peuvent s’appuyer sur lui pour obtenir des jetons d’authentification auprès de Microsoft Entra ID.
Le chercheur Ofek Levin, dans le cadre du programme d’Enclave, a découvert qu’une partie du mécanisme pouvait être sollicitée par une autre application installée sur le téléphone. Le défaut de vérification d’identité permettait à un logiciel malveillant de se faire passer pour Teams ou un autre composant légitime, afin de demander des jetons qui ne lui étaient pas destinés.
L’élément le plus préoccupant était l’absence de nécessité d’obtenir une permission Android particulièrement sensible : l’application d’attaque pouvait effectuer cette opération avec zéro permission déclarée dans la démonstration des chercheurs. Le propriétaire du téléphone n’avait pas non plus à approuver une nouvelle connexion pour chaque accès.
Il fallait toutefois qu’une application malveillante soit déjà installée sur le smartphone. Il ne s’agissait pas d’un piratage automatique réalisable à distance uniquement en connaissant une adresse e-mail.
Pourquoi les comptes professionnels étaient particulièrement exposés
Un jeton d’accès valide agit comme une preuve qu’une session a déjà été authentifiée. S’il est récupéré par un tiers, il peut ouvrir des portes vers les ressources auxquelles la personne a droit : e-mails Outlook, discussions Teams, calendriers, documents OneDrive ou SharePoint.
Les travaux d’Enclave ont également exploré des possibilités de manipulation de clés d’accès, ou passkeys, dans certaines conditions. Ces résultats montrent la gravité potentielle du défaut, mais ne constituent pas une preuve que toutes les installations ont été compromises.
Les sources publiques consultées ne fournissent pas de bilan confirmé d’attaques massives exploitant AuthMask. Il faut donc parler d’une vulnérabilité démontrée et corrigée, et non affirmer qu’un vol généralisé de comptes Microsoft s’est produit.
Quelles versions de Microsoft Authenticator sont concernées ?
Microsoft suit cette faille sous la référence CVE-2026-80097, avec un score CVSS de 8,6/10. Selon le bulletin et les chercheurs, les versions d’Authenticator pour Android antérieures à 6.2606.4246 étaient vulnérables.
| Application | État | Action recommandée |
|---|---|---|
| Microsoft Authenticator Android avant 6.2606.4246 | Vulnérable | Mettre à jour immédiatement |
| Microsoft Authenticator Android 6.2606.4246 et versions ultérieures | Correctif intégré | Conserver les mises à jour automatiques |
| Microsoft Authenticator iPhone | Non visé par l’avis Android décrit ici | Continuer les mises à jour habituelles |
Le correctif était déjà distribué depuis l’été 2026 et Microsoft a publié son avis de sécurité le 8 septembre 2026. Les détails de recherche ont été rendus publics le 23 octobre, expliquant pourquoi le sujet revient dans l’actualité.
Tutoriel : vérifier et mettre à jour Microsoft Authenticator sur Android
1. Contrôler la version installée
Sur votre smartphone, ouvrez Paramètres > Applications > Microsoft Authenticator. Selon la marque du téléphone, la rubrique « Informations sur l’application » affiche la version directement ou dans un volet « À propos ». Il est également possible d’ouvrir la page de l’application dans Google Play pour consulter sa version et son état de mise à jour.
Comparez le numéro à 6.2606.4246. Si la version est plus ancienne, une mise à jour est nécessaire.
2. Installer la dernière mise à jour
Ouvrez le Google Play Store, fiche Microsoft Authenticator et utilisez le bouton Mettre à jour lorsqu’il apparaît. Si vous utilisez un téléphone administré par votre entreprise, le déploiement peut être géré par son service informatique.
3. Vérifier la sécurité du téléphone
Examinez les applications installées récemment, désinstallez celles dont vous ne connaissez pas l’origine et utilisez les contrôles de sécurité du téléphone. Ne désinstallez pas Authenticator sans précaution : vous risqueriez de perdre l’accès à certains comptes si leurs méthodes de récupération ne sont pas configurées.
Si vous soupçonnez une compromission professionnelle, contactez le service informatique pour une révocation des sessions et un examen des journaux de connexion. Modifier uniquement le mot de passe n’est pas toujours suffisant lorsqu’un jeton de session a été dérobé.
Que doivent faire les responsables informatiques ?
Les équipes en charge d’une flotte Android devraient vérifier les versions réellement déployées, imposer une version corrigée lorsque c’est possible et contrôler l’état des appareils. Une analyse des sessions inhabituelles et des applications non autorisées peut être utile si une exposition est suspectée.
Les protections habituelles de Microsoft Entra — politiques d’accès conditionnel, contrôle des appareils, durée de vie des sessions et réaction aux signaux de risque — restent pertinentes. Aucune de ces mesures ne dispense de mettre à jour l’application vulnérable.
Faut-il abandonner Microsoft Authenticator ?
Non, ce n’est pas la conclusion à tirer de cette découverte. Le correctif existe et doit être installé. Le problème met en lumière la nécessité de vérifier l’identité des applications qui demandent des jetons de connexion, surtout lorsqu’un téléphone sert à accéder à des données professionnelles sensibles.
Pour les particuliers, la recommandation est simple : tenir les applications de sécurité à jour et limiter les installations non fiables. Pour les entreprises, il faut ajouter une vérification de la conformité des appareils et de la version d’Authenticator.
Sur TechPi, retrouvez notre dossier sur les correctifs de sécurité Microsoft d’octobre et les conseils pour protéger ses données numériques.
