Microsoft Authenticator uygulamasındaki kritik açık kapatıldı

TechRadar'ın aktardığına göre, Microsoft Authenticator uygulamasının Android sürümünde keşfedilen kritik açık, zararlı uygulamaların kullanıcı onayı gerektirmeden oturum belirteçlerini ele geçirmesine olanak tanıyordu. Enclave araştırmacılarının tespit ettiği ve CVE_2026-80097 olarak takip edilen güvenlik açığı, Microsoft tarafından kapatıldı ve kullanıcıların uygulamalarını derhal güncellemesi istendi.

Açık nasıl çalışıyordu?

Araştırmacılar, olağan Android standartlarında şüpheli görünmeyen ve geniş izinler istemeyen üçüncü taraf bir uygulamanın, kendisini meşru bir Microsoft Teams uygulaması gibi tanıtabildiğini gösterdi. Authenticator uygulaması, gelen verilerin doğruluğunu kontrol ederken uygulamanın kimliğini doğrulayamadığı için izinsiz bir şekilde oturum belirteci (token) sağladı. Bu süreç tamamen arka planda gerçekleşti; kullanıcıların oturum açma girişimini onaylaması veya herhangi bir bildirim alması gerekmedi. Bu durum, saldırganların e-postalara, Teams verilerine, takvimlere ve dosyalara erişmesine imkan tanıyabilecek bir zafiyet yarattı.

Güncelleme çağrısı yapıldı

Enclave, bu açığın gerçek dünyada kötü niyetli kişiler tarafından kullanıldığına dair bir kanıt bulamadı ve sorunu kontrollü bir ortamda test etti. Sınamayı gerçekleştiren araştırmacılara göre, zararlı uygulamanın hedeflenen Android cihazına bir şekilde yüklenmesi gerekiyor. Microsoft Security Response Center, 6.2606.4246 sürümünden önceki Microsoft Authenticator Android sürümlerinin etkilendiğini belirterek, kullanıcıların Google Play Store üzerinden uygulamalarını en son sürüme güncellemelerini tavsiye ediyor.