Que s'est-il passé ?
Microsoft a confirmé une faille de sécurité critique dans son application Authenticator, par laquelle des attaquants peuvent obtenir les jetons de connexion des comptes utilisateurs. La vulnérabilité, référencée CVE-2026-41615, permet à des personnes non autorisées de dérober des informations sensibles via le réseau et d'accéder ainsi à des ressources normalement réservées au propriétaire légitime du compte. Microsoft évalue ce risque à un score CVSS de 9,6, le classant comme « critique ». Des versions mises à jour de l'application sont déjà disponibles au téléchargement pour Android et iOS.
Les détails
Selon la fiche de vulnérabilité publiée par Microsoft, la faille peut exposer le jeton de connexion au compte professionnel des utilisateurs. Les attaquants obtiennent ainsi accès à toutes les données et services auxquels le compte utilisateur concerné est autorisé — potentiellement donc également à des informations d'entreprise sensibles.
Le vecteur d'attaque nécessite une interaction de la victime : les attaquants doivent amener une personne à interagir avec une demande paraissant légitime mais malveillante. Si la victime valide cette demande, l'application peut être amenée à requérir des jetons d'accès au nom de l'utilisateur. Ces jetons sont ensuite transmis à un service contrôlé par les attaquants. Le problème est le suivant : les victimes ne reçoivent aucune information claire sur l'accès réellement accordé — l'attaque passe ainsi largement inaperçue.
L'évaluation divergente des risques est intéressante à noter : alors que Microsoft classe la faille comme « critique » avec un score CVSS de 9,6, le NIST, dans sa fiche du NVD, ne lui attribue qu'un score de 7,4, soit une classification « élevée ». Microsoft souligne par ailleurs que la vulnérabilité n'a pas encore été exploitée activement et qu'aucun exploit public n'est actuellement disponible.
Analyse
Les applications d'authentification sont généralement considérées comme un élément essentiel de l'authentification à deux facteurs, censé prévenir précisément des scénarios d'attaque tels que la prise de contrôle de comptes. Que cette couche de protection devienne elle-même une porte d'entrée pour les attaquants est particulièrement préoccupant, en particulier dans le contexte professionnel, où les comptes de travail donnent souvent un accès étendu aux systèmes internes, aux documents et aux plateformes de communication.
Le vecteur d'attaque mérite également d'être souligné : il ne s'agit pas d'une simple faille technique exploitable sans intervention, mais d'un mécanisme reposant sur l'ingénierie sociale. Les utilisateurs doivent valider activement une demande apparemment légitime. Cela démontre une fois de plus que les mesures de protection techniques seules ne suffisent pas lorsque les attaquants ciblent l'humain, maillon le plus faible de la chaîne de sécurité.
L'écart entre l'évaluation de Microsoft et celle du NIST illustre par ailleurs à quel point les risques peuvent être perçus différemment selon la méthodologie d'évaluation utilisée. Pour les entreprises comme pour les particuliers, un point reste essentiel en pratique : une classification critique émise par l'éditeur lui-même devrait toujours être prise au sérieux, indépendamment des évaluations externes divergentes.
Conseils pratiques
- Vérifiez immédiatement si votre Microsoft Authenticator est à jour. Sous Android, la version 6.2605.2973 ou ultérieure est requise, sous iOS au minimum la version 6.8.47.
- Le numéro de version actuel est consultable dans le menu de l'application, sous « Aide », puis « À propos » — « Version de l'application ».
- Si les mises à jour automatiques des applications sont désactivées sur l'appareil mobile, il convient de rechercher manuellement les mises à jour disponibles sur le Google Play Store ou l'App Store iOS.
- Faites preuve de méfiance systématique face aux demandes de connexion inattendues ou aux notifications push de l'Authenticator, en particulier si elles semblent inhabituelles ou ne correspondent à aucune action de connexion effectuée par vous-même.
- Les entreprises devraient sensibiliser leurs collaborateurs aux attaques d'ingénierie sociale, car le vecteur d'attaque décrit nécessite une validation active de la part de l'utilisateur.
Perspectives
Aucune exploitation active de la faille ni aucun exploit public n'étant connus à ce jour, il n'existe actuellement aucune urgence liée à une vague d'attaques déjà en cours. Néanmoins, les utilisateurs devraient installer rapidement les mises à jour disponibles afin d'écarter tout risque d'exploitation future. L'expérience montre que l'intérêt des attaquants pour le développement d'exploits correspondants augmente généralement après la divulgation publique d'une vulnérabilité. La mise à jour rapide de l'application demeure donc la mesure la plus efficace pour se protéger contre d'éventuelles attaques exploitant cette faille.
