Microsoft telah menambal kerentanan keamanan pada aplikasi Authenticator versi Android miliknya. Celah ini memungkinkan aplikasi berbahaya tanpa izin khusus menyamar sebagai platform resmi Microsoft, semisal Teams, demi mencuri token autentikasi milik akun kerja korban.
Raksasa teknologi tersebut melacak kelemahan sistem ini menggunakan kode CVE-2026-80097 dan memperbaikinya pada Microsoft Authenticator Android versi 6.2606.4246. Oleh karena itu, para pengguna diimbau untuk segera memperbarui perangkat lunak mereka.
Berdasarkan pengujian peneliti, token yang dicuri mampu memberikan kontrol penuh terhadap kalender, berkas, serta pesan surel korban. Namun, Microsoft berargumen bahwa eksploitasi menuntut korban menuntaskan verifikasi masuk di Authenticator, seraya menegaskan belum menemukan indikasi insiden serangan.
Temuan teknis berharga ini dipaparkan oleh Ofek Levin dalam program fellowship bersama firma keamanan siber Enclave, yang mengumumkan rinciannya pada 23 Oktober 2026. Microsoft sebelumnya menetapkan kode CVE pada 8 September dengan bobot keparahan CVSS 8,6 berkategori “Penting”.
Di ekosistem Android, Authenticator bekerja melampaui fungsi penyedia kode enam digit. Aplikasi ini beroperasi sebagai perantara: ketika Teams, Outlook, atau layanan lain meminta akses, Authenticator akan memberikan token digital bukti login resmi. Karena menguasai pintu masuk akun seutuhnya, mekanisme broker semestinya menyaring pemohon token secara ketat.
Kerentanan ini justru membuka celah pembagian token kepada pihak keliru. Authenticator memaparkan komponen terbuka bernama AccountChooserActivity yang dapat dijalankan aplikasi mana pun pada gawai. Begitu aplikasi penyusup menjalankannya, Authenticator menyusun permintaan otorisasi berdasarkan klaim sepihak sang penyerang. Ketika penyerang berpura-pura menjadi Teams, sistem langsung memercayainya.
Pemeriksaan tanda tangan digital yang mestinya membendung penipuan ini rupanya gagal bekerja optimal. Mekanisme verifikasi hanya memeriksa tanda tangan autentik dari aplikasi asli yang ditiru. Berhubung aplikasi Teams terpasang secara nyata pada ponsel tersebut, tanda tangan valid tersedia secara otomatis sehingga proses pengecekan tetap lolos.
Temuan Enclave membeberkan bahwa Authenticator sebenarnya mampu mendeteksi identitas asli program pemohon. Ironisnya, sistem internal sama sekali tidak mempertimbangkan data identitas tersebut sebelum menyerahkan tiket otentikasi penting.
Dalam skenario pengujian tim Enclave, pembajakan identitas Teams untuk meminta token Microsoft Graph sukses memberikan izin pemindaian dan pengiriman surel, pengelolaan berkas, hingga manipulasi jadwal kalender pengguna.
Microsoft mendeskripsikan dampaknya dengan bahasa yang lebih luas: peretas yang berhasil dapat bertindak sebagai korban terdaftar lalu menjelajahi data internal. Akses ini terbatas pada akun kerja yang sedang tersambung di Authenticator ponsel tersebut.
Kedua pihak memiliki perbedaan pandangan mengenai proses serangan yang perlu dicermati. Enclave membuktikan bukti konsepnya dapat mencairkan token tanpa interaksi apa pun dari pemilik, asalkan akun kerja telah berstatus masuk.
Sebaliknya, rilis resmi Microsoft menegaskan eksploitasi membutuhkan pemasangan aplikasi jahat serta bujukan agar korban menyelesaikan alur otentikasi di aplikasi Authenticator. Penilaian matriks CVSS dari Microsoft juga memuat syarat keterlibatan interaksi pengguna aktif.
Microsoft memastikan belum ada bukti pemanfaatan celah di dunia nyata sebelum perbaikan terbit, dan mengelompokkan risiko keberhasilan serangan pada tingkat “kecil kemungkinannya”. Pembaruan ini diluncurkan bersamaan dengan agenda rutin Patch Tuesday September 2026 dan bukan bagian dari dua kelemahan sistem Windows yang tengah dieksploitasi aktif. Selain itu, kerentanan belum tercantum pada katalog Known Exploited Vulnerabilities milik CISA AS hingga 26 Oktober 2026.
Langkah pencegahan utama adalah memasang pembaruan Microsoft Authenticator Android edisi 6.2606.4246 atau versi lebih baru melalui panduan Microsoft. Perusahaan pengelola gawai kerja dapat memaksakan batas minimum versi aplikasi lewat sistem manajemen armada perangkat. Kendati demikian, buletin resmi belum menjelaskan apakah penambalan ini secara otomatis mencabut token lama yang telanjur dicuri aplikasi jahat.
