Microsoft Authenticator Uygulamasındaki Güvenlik Açığı, İş Hesabı Token’larının Çalınmasına Neden Oldu

Microsoft Authenticator Uygulamasındaki Güvenlik Açığı, İş Hesabı Token’larının Çalınmasına Neden Oldu

Microsoft, Android için Authenticator uygulamasında keşfedilen bir güvenlik açığını giderdi. Bu açık, kötü niyetli bir uygulamanın herhangi bir izne sahip olmamasına rağmen, Teams gibi güvenilir bir Microsoft uygulaması gibi davranarak kurbanın iş hesabına ait oturum açma token’larını ele geçirmesine olanak tanıyordu.

Microsoft, bu güvenlik açığını CVE-2026-80097 olarak tanımladı ve Authenticator for Android’in 6.2606.4246 sürümünde düzeltti. Bu nedenle, uygulamayı kullanan herkesin güncelleme yapması önemle tavsiye edilir.

Araştırmacıların testlerinde, ele geçirilen token’lar hesabın e-postasına, dosyalarına ve takvimine tam erişim sağladı. Microsoft, istismarın aynı zamanda kurbanın Authenticator uygulamasında bir oturum açma adımını tamamlamasını gerektirdiğini ve bu güvenlik açığının henüz saldırılarda kullanılmadığını belirtti.

Güvenlik Açığının Detayları

Bu araştırma, güvenlik firması Enclave‘de bir burs programı aracılığıyla çalışan Ofek Levin tarafından gerçekleştirildi ve teknik detaylar 23 Ekim 2026’da yayınlandı. Microsoft, CVE’yi 8 Eylül’de atadı ve CVSS ölçeğinde 8.6 olarak derecelendirerek “Önemli” olarak etiketledi.

Android’de Authenticator, sadece altı haneli kodları göstermekten daha fazlasını yapar. Aynı zamanda bir aracı görevi görür: Teams, Outlook veya başka bir Microsoft uygulaması bir kullanıcının oturum açmasını istediğinde, Authenticator’a sorar ve Authenticator, kullanıcının oturum açtığını kanıtlayan dijital bir geçiş olan bir token verir. Aracı, tüm hesaba erişimi kontrol ettiği için, hangi uygulamaya token verdiğine dikkat etmelidir.

Güvenlik açığı, yanlış uygulamanın bir token almasına izin verdi. Authenticator, cihazdaki herhangi bir uygulamanın başlatabileceği AccountChooserActivity adlı bir bileşeni (bir aktiviteyi) açığa çıkarır. Saldırganın uygulaması bunu başlattığında, Authenticator, token isteğini saldırganın uygulamasının sağladığı değerlerden, iddia ettiği uygulamanın adı da dahil olmak üzere oluşturdu. Uygulama, Teams olduğunu söyledi ve aracı buna inandı.

Bir imza kontrolü bunu durdurmalıydı, ancak durdurmadı. Kontrol, taklit edilen uygulamanın gerçek imzasını aradı ve isteğin bununla eşleştiğini doğruladı. Teams gerçekten cihaza yüklü olduğu için, gerçek imzası okunabiliyordu, bu yüzden kontrol geçti.

Enclave, Authenticator’ın isteği gerçekten hangi uygulamanın yaptığını da görebildiğini, ancak bir token verip vermeyeceğine karar vermek için bunu kullanmadığını buldu.

Erişim Kapsamı ve Kullanıcı Etkileşimi

Enclave’in testlerinde, Teams gibi davranarak ve Microsoft Graph token’ları talep ederek, diğerlerinin yanı sıra e-posta okuma ve gönderme, dosya okuma ve yazma ve takvim okuma ve yazma izinleri elde edildi.

Microsoft, sonucu daha genel olarak şöyle tanımlıyor: Başarılı bir saldırgan, oturum açmış kullanıcı olarak kimlik doğrulaması yapabilir ve o kullanıcının kaynaklarına erişebilir. Token’lar, o cihazda Authenticator’da oturum açmış iş hesabına uygulanır, diğer hesaplara değil.

İki hesap, bir okuyucunun dikkate alması gereken bir noktada farklılaşıyor. Enclave, kavram kanıtının, oturum açmış bir hesabın varlığı dışında herhangi bir kullanıcı etkileşimi olmadan token’ları döndürdüğünü bildirdi.

Microsoft’un danışmanlığı, istismarın cihaza kötü niyetli bir uygulama yüklenmesini ve kullanıcının Authenticator’da bir kimlik doğrulama akışını tamamlamaya ikna edilmesini gerektirdiğini belirtiyor. CVSS puanı da güvenlik açığının kullanıcı etkileşimi gerektirdiğini gösteriyor.

Güncelleme ve Önlemler

Microsoft, güvenlik açığının istismar edilmediğini ve düzeltmeden önce kamuya açıklanmadığını belirtiyor ve istismar olasılığını “daha düşük” olarak değerlendiriyor. Bu, şirketin Eylül 2026 Yama Salı‘sının bir parçasıydı ve o ay zaten saldırı altında olduğu belirtilen iki Windows güvenlik açığından biri değildi. Güvenlik açığı, 26 Ekim 2026 itibarıyla ABD CISA Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda listelenmiyor.

Düzeltme, Microsoft Authenticator for Android’i Microsoft’un danışmanlığında belirtildiği gibi 6.2606.4246 veya daha yeni bir sürüme güncellemektir. Android cihazları yöneten kuruluşlar, cihaz yönetimleri aracılığıyla bu minimum sürümü zorunlu kılabilir. Microsoft’un danışmanlığı düzeltmeyi verse de, güncellemenin kötü niyetli bir uygulamanın zaten elde etmiş olabileceği herhangi bir token’ı iptal edip etmediğini belirtmiyor, bu nedenle mevcut kaynaklardan bu belirsizliğini koruyor.