Microsoft ha revelado una vulnerabilidad de seguridad significativa en Microsoft Teams para Android que podría permitir que un atacante autenticado exponga información sensible a través de una red. El fallo, rastreado como CVE-2026-42835, fue publicado oficialmente el 9 de junio de 2026 y ha sido calificado con una severidad Importante.

La vulnerabilidad se deriva de una neutralización inadecuada de elementos especiales en la salida utilizada por un componente downstream, clasificada bajo CWE-74 (Inyección).

Según el aviso de Microsoft, la debilidad permite que un atacante autorizado revele información de forma remota, sin requerir ninguna interacción del usuario.

El fallo tiene una puntuación base CVSS 3.1 de 8.1 (puntuación temporal: 7.1), lo que refleja su riesgo considerable. El vector de ataque es de Red (AV:N), confirmando que la vulnerabilidad es explotable remotamente a través de internet.

Con una complejidad de ataque Baja (AC:L), un atacante no necesita conocimientos avanzados del sistema objetivo y puede lograr un éxito de explotación repetible mediante una carga útil diseñada contra el componente vulnerable.

Microsoft confirmó que un exploit exitoso podría permitir a un atacante leer pequeñas porciones de la memoria heap. Aunque el alcance de los datos expuestos pueda parecer limitado, la memoria heap puede contener información sensible de ejecución, incluyendo tokens de autenticación, datos de sesión o credenciales almacenadas en caché, lo que convierte incluso una divulgación parcial en una preocupación grave en entornos empresariales.

Las métricas CVSS indican un impacto alto tanto en la Confidencialidad como en la Disponibilidad, sin impacto en la integridad. La métrica de Privilegios Requeridos está calificada como Baja, lo que significa que cualquier usuario autenticado, incluidas las cuentas con pocos privilegios, podría potencialmente activar la vulnerabilidad.

La evaluación de explotabilidad de Microsoft clasifica esta vulnerabilidad como Explotación Poco Probable. El fallo no ha sido divulgado públicamente y no se ha observado una explotación activa en el momento de la publicación. La madurez del código del exploit se enumera como no probada, y ya hay una corrección oficial disponible.

Microsoft ha lanzado una actualización de seguridad para Microsoft Teams para Android, disponible a través de la Google Play Store. Se recomienda encarecidamente a los usuarios y administradores de empresas que actualicen la aplicación inmediatamente a través del listado oficial de Microsoft Teams en Google Play.

Si tu organización depende de Teams para las comunicaciones internas, debes priorizar esta actualización, especialmente dado el uso generalizado de la aplicación para manejar conversaciones comerciales sensibles y compartir archivos.

La vulnerabilidad fue revelada responsablemente por Ofek Levin de Enclave a través del programa de divulgación coordinada de vulnerabilidades de Microsoft.