Un indicador de desarrollo que se dejó activado en las compilaciones de producción de varias aplicaciones de Microsoft 365 para Android deshabilitó la verificación que limita el uso compartido de tokens de cuenta con aplicaciones confiables de Microsoft.
Cualquier otra aplicación en el mismo teléfono podría solicitar el token del usuario que inició sesión y obtenerlo, luego leer el correo electrónico, abrir archivos, explorar el calendario y enviar mensajes como ese usuario. Sin contraseña, sin pantalla de inicio de sesión, sin solicitud de permiso.
Microsoft lo ha parcheado y, si ejecuta aplicaciones de Microsoft 365 en Android, actualícelas.
El error, que Enclave llamadas BanderaIzquierdallegó a Word, PowerPoint, Excel, Microsoft 365 Copilot, Microsoft Loop y OneNote, seis aplicaciones con miles de millones de descargas entre ellas. Los equipos se enviaron con la misma bandera configurada como falsa y no se vieron afectados, lo que Enclave lee como un desliz en lugar de un diseño.
Las aplicaciones de Microsoft 365 comparten el acceso a la cuenta a propósito, por lo que iniciar sesión en Word significa que no vuelve a iniciar sesión en PowerPoint. Se supone que la transferencia verifica quién pregunta y rechaza cualquier cosa que no sea una aplicación confiable de Microsoft.
Yanir Tsarimi y Ofek Levin de Enclave descubrieron que el cheque se había saltado debido a que quedaba una sola línea en el código de envío: setIsDebugMode(verdadero). La falla se encontraba en un SDK compartido de Microsoft, por lo que el mismo agujero apareció en una aplicación tras otra.
Los tokens entregados fueron tokens FOCI, la familia actualiza los tokens que Microsoft usa para el inicio de sesión único en todas sus aplicaciones. Se pueden actualizar y reutilizar durante largos períodos, y el tráfico resultante parece rutinario en los registros. Desde el lado del usuario, no sucede nada visible.
Enclave creó una prueba de concepto funcional que extraía tokens a través de una aplicación de terceros no verificada y leía el correo electrónico con ellos. Microsoft los clasifica como defectos de suplantación de identidad locales; En términos sencillos, todo lo que se necesita es una aplicación maliciosa que ya esté instalada en el dispositivo.
Microsoft emitió cuatro CVE el 12 de mayo, todos clasificados como suplantación de identidad bajo control de acceso inadecuado (CWE-284): CVE-2026-41100 para copiloto de Microsoft 365 (CVSS 4.4), CVE-2026-41101 para Word (CVSS 7.1), CVE-2026-41102 para PowerPoint (CVSS 7.1), y CVE-2026-42832 para Excel (CVSS 7.7). Los cuatro CVE cubren Copilot, Word, PowerPoint y Excel.
Enclave informó la misma falla en Loop y OneNote, pero ninguno obtuvo un CVE separado en el lote de mayo. NVD enumera la compilación de Word parcheada para Android como 16.0.19822.20190, con versiones anteriores afectadas. Las otras aplicaciones se solucionaron mediante las mismas actualizaciones de Google Play.
Nada en el lanzamiento del martes de parches de mayo de Microsoft figuraba como conocido públicamente o explotado, y no hay evidencia pública de que la falla se haya utilizado antes de la solución.
¿Qué hacer? Actualice Word, PowerPoint, Excel, Microsoft 365 Copilot, Loop y OneNote desde Google Play. Los equipos de seguridad que administran flotas de Android deben enviar las actualizaciones a través de MDM y confirmar que los dispositivos no tienen versiones anteriores a 16.0.19822.20190.
El parche cierra el agujero, pero no elimina retroactivamente los tokens que un atacante ya pueda tener. Los tokens de actualización de FOCI duran más que una actualización de la aplicación, por lo que para las cuentas en dispositivos que ejecutaron una versión antigua junto con aplicaciones que no son de confianza, vale la pena revocar los tokens de actualización y forzar un nuevo inicio de sesión.
