Android akıllı telefonda kilit ekranı PIN giriş tuş takımı (temsili görsel)

Microsoft'un Android için Microsoft Authenticator uygulamasında, cihazdaki zararlı bir uygulamanın Teams gibi Microsoft uygulamalarının kimliğine bürünüp iş hesabına ait oturum jetonlarını almasına yol açabilen CVE-2026-80097 açığının ayrıntıları, açığı bulan Enclave ekibinin 23 Ekim 2026'da yayımladığı yazıyla ortaya çıktı. Microsoft açığı 8 Eylül 2026'da duyurmuş, 6.2606.4246 öncesi sürümlerin etkilendiğini bildirmişti. Kurumsal hesaplarda oturum açmayı ve çok faktörlü doğrulamayı yöneten uygulamayı Android'de kullananların 6.2606.4246 veya daha yeni sürüme geçmesi gerekiyor.

Açık nasıl çalışıyordu

Enclave araştırmacısı Ofek Levin'in AuthMask adını verdiği çalışmaya göre açık, Microsoft Authenticator içindeki bir ekran bileşeninin dışarıdan çağrılabilmesinden kaynaklandı. Araştırmacılar, AccountChooserActivity adlı bileşenin dışarıya açık bırakıldığını ve cihazdaki herhangi bir uygulamanın bu bileşeni başlatabildiğini aktardı.

Enclave'in testlerinde, Authenticator gelen isteklerde çağıran uygulamanın paket adı ve istemci kimliği gibi beyanlarına doğrudan güvendi. İmza denetimi mekanizması ise çağrıyı yapan gerçek zararlı yazılımı değil, taklit edilen uygulamanın cihazdaki meşru imzasını kontrol etti. Taklit edilen yazılım cihazda zaten kurulu olduğu için bu denetim her defasında aşıldı.

Enclave ekibine göre bu zayıflık sonucunda erişim, yenileme ve kimlik jetonları düz metin olarak yetkisiz uygulamaya aktarıldı. Araştırmacılar, Microsoft Teams kılığına girilerek Microsoft Graph üzerinden e-posta okuma ve gönderme, dosya erişimi, takvim yönetimi, Teams mesajı atma ve SharePoint sitelerine erişim izinlerinin alınabildiğini belirtti. Ekip ayrıca Authenticator'ın kendi istemcisi taklit edildiğinde kimlik doğrulama yöntemleri ile geçiş anahtarlarının yönetilebildiğini kaydetti.

Microsoft ne diyor

Microsoft Güvenlik Yanıt Merkezi (MSRC), zafiyeti «Microsoft Authenticator Elevation of Privilege Vulnerability» başlığıyla ve CWE-287 hatalı kimlik doğrulama zayıflığı olarak tanımladı. Şirket açığın önem derecesini «Önemli» (Important), CVSS 3.1 taban puanını ise 8,6 (Yüksek) olarak belirledi.

İki kaynağın teknik değerlendirmesinde belirgin bir fark bulunuyor. Enclave araştırmacılarına göre saldırının gerçekleşmesi için cihazda Authenticator'ın oturum açılmış bir iş hesabıyla bulunması dışında kullanıcı etkileşimi gerekmedi. Microsoft'un CVSS vektöründe ise kullanıcı etkileşimi şartı (UI:R) yer alıyor. MSRC soru-cevap bölümünde, bir saldırganın cihaza zararlı yazılım yüklemesi ve kullanıcıyı Microsoft Authenticator içinde bir kimlik doğrulama akışını tamamlamaya ikna etmesi gerektiği belirtildi.

MSRC kaydına göre 8 Eylül 2026 itibarıyla açığın istismar edildiğine dair bir bilgi yoktu ve açık yayım öncesinde kamuya duyurulmamıştı. Açık, CISA'nın bilinen istismar edilmiş açıklar kataloğunda (KEV) yer almıyor; saldırılarda kullanıldığına dair bir bilgi de bulunmuyor. Etkilenen aralık 6.0.0 ile 6.2606.4246 öncesi Android sürümleri olarak açıklandı; iOS tarafında bir etkilenme kaydı bulunmuyor. MSRC, 15 Eylül 2026'da kayıttaki düzeltme yapı numarasını düzeltti; bu yalnızca bilgilendirme amaçlı bir değişiklikti.

Türkiye açısından

Türkiye'deki kurumların veya kullanıcıların bu açıktan doğrudan etkilendiğine dair herhangi bir bildiri bulunmuyor. Türkiye'ye özgü bir saldırı ya da etkilenme verisi açıklanmadı.

Risk, Android cihazında iş hesabı tanımlı Microsoft Authenticator kullanan tüm kurum ve çalışanları kapsıyor. Microsoft'un sunucu tarafında kapattığı Entra ID açığından farklı olarak bu sorun telefondaki uygulamada bulunuyor; düzeltme ancak uygulama güncellendiğinde devreye giriyor. Alınabilecek genel önlemler:

Kaynaklar

Kapak görseli (temsili): Android telefonda kilit ekranı PIN girişi; Microsoft Authenticator ekranı değildir — Mykhal, Wikimedia Commons, CC0 (1200×675 yerleşim).