Microsoft, Android için Authenticator uygulamasındaki bir açığı kapattı. Bu açık, izinleri olmayan kötü niyetli bir uygulamanın Teams gibi güvenilen bir Microsoft uygulamasına bürünerek kurbanın iş hesabı oturum açma belirteçlerini toplamaya izin veriyordu.
Microsoft bu açığı CVE-2026-80097 olarak izliyor ve Android için Authenticator sürüm 6.2606.4246'da düzeltti. Uygulamayı kullanan herkesin güncellemesi gerekiyor.
Araştırmacıların testlerinde belirteçler hesabın e-postası, dosyaları ve takvimine tam erişim sağladı. Microsoft'a göre istismar için kurbanın Authenticator'da bir oturum açma adımı tamamlaması gerekiyor ve açığın saldırılarda kullanıldığına dair bir kanıt yok.
Araştırma, güvenlik şirketi Enclave'deki bir burs programı kapsamında çalışan Ofek Levin'den geldi. Enclave teknik detayları 23 Ekim 2026'da yayımladı. Microsoft açığa 8 Eylül'de CVE numarası verdi ve CVSS ölçeğinde 8.6 puanla "Önemli" olarak sınıflandırdı.
Android'de Authenticator sadece altı haneli kod göstermiyor. Aynı zamanda bir aracı olarak çalışıyor: Teams, Outlook ya da başka bir Microsoft uygulaması kullanıcı oturumu açmak istediğinde Authenticator'a başvuruyor ve Authenticator kullanıcı oturumda olduğunu kanıtlayan dijital bir geçiş olan belirteci geri veriyor. Aracı tüm hesaba erişimi kontrol ettiği için hangi uygulamaya belirteç vereceğine dikkat etmesi gerekiyor.
Açık yanlış uygulamanın da belirteç almasına izin verdi. Authenticator, cihazdaki herhangi bir uygulamanın başlatabildiği AccountChooserActivity adında bir bileşen açığa çıkarıyor. Saldırgan uygulamanın bunu başlatması üzerine Authenticator, token isteğini saldırgan uygulamanın sağladığı değerlerden oluşturdu; bu değerler arasında kendini hangi uygulama olarak gösterdiği de vardı. Uygulama kendini Teams olarak gösterdi ve aracı buna inandı.
Bu durumu engellemesi gereken bir imza kontrolü vardı ama çalışmadı. Kontrol, taklit edilen uygulamanın gerçek imzasını bulup isteğin buna uyup uymadığını doğruladı. Teams cihazda gerçekten yüklü olduğu için gerçek imzası okunabildi ve kontrol geçti.
Enclave'in bulgusuna göre Authenticator aslında isteği gerçekten kimin yaptığını görebiliyordu ama belirteç verip vermeme kararında bunu kullanmadı.
Enclave testlerinde Teams gibi davranıp Microsoft Graph belirteçleri istemek, e-posta okuma ve gönderme, dosya okuma ve yazma, takvim okuma ve yazma gibi izinler döndürdü.
Microsoft sonucu daha genel tanımlıyor: başarılı bir saldırgan oturum açmış kullanıcı olarak kimlik doğrulayabilir ve kullanıcının kaynaklarına ulaşabilir. Belirteçler, o cihazda Authenticator'a giriş yapılmış iş hesabına uygulanır; diğer hesapları kapsamaz.
İki tarafın uyuşmadığı bir nokta var. Enclave, kanıt kavramının oturum açmış bir hesabın bulunması dışında herhangi bir kullanıcı etkileşimi olmadan belirteç döndürdüğünü bildirdi.
Microsoft'un uyarısına göre istismar için cihazda kötü niyetli bir uygulamanın kurulması ve kullanıcının Authenticator'da bir kimlik doğrulama akışını tamamlaması gerekiyor. CVSS puanı da açığın kullanıcı etkileşimi gerektirdiğini gösteriyor.
Microsoft açığın istismar edilmediğini ve düzeltmeden önce kamuya açıklanmadığını söylüyor; istismar olasılığını "daha az olası" olarak değerlendiriyor. Açık, şirketin Eylül 2026 Patch Tuesday güncellemesinin parçasıydı ve o ay saldırıda olduğu belirtilen iki Windows açığından biri değildi. 26 Ekim 2026 itibarıyla ABD CISA Bilinen İstismar Edilen Açıklar kataloğunda listelenmiyor.
Çözüm, Microsoft'un uyarısında bağlantısı verilen şekilde Microsoft Authenticator for Android'i sürüm 6.2606.4246 veya daha yeniye güncellemek. Android cihazları yöneten kuruluşlar cihaz yönetimi üzerinden bu minimum sürümü zorunlu kılabilir. Microsoft'un uyarısı düzeltmeyi veriyor ancak güncellemenin kötü niyetli bir uygulamanın elde etmiş olabileceği bir belirteci iptal edip etmediği konusunda bilgi vermiyor; bu konu mevcut kaynaklardan net değil.
