Peneliti dari Enclave merinci celah di Microsoft Authenticator untuk Android yang membuat aplikasi tanpa izin apa pun bisa meminta token akun kerja dengan menyamar sebagai aplikasi Microsoft lain. Celah ini tercatat sebagai CVE-2026-80097 dengan skor CVSS 8,6, dan Enclave menamainya AuthMask. Microsoft sudah menutupnya lewat Authenticator versi 6.2606.4246, sehingga risiko kini ada pada ponsel yang belum memperbarui aplikasinya.
Bagaimana celah ini bekerja
Authenticator punya komponen broker yang menerbitkan token untuk aplikasi Microsoft lain di ponsel yang sama. Menurut Enclave, salah satu activity di aplikasi itu bisa dipanggil aplikasi apa saja, dan identitas pemanggilnya diperiksa memakai data yang dikirim pemanggil itu sendiri, bukan identitas yang diverifikasi sistem. Akibatnya, aplikasi yang tidak tepercaya dapat mengaku sebagai aplikasi resmi Microsoft, lalu menerima token yang seharusnya hanya untuk aplikasi tersebut.
Syaratnya ada dua: aplikasi jahat sudah terpasang di ponsel yang sama, dan akun kerja sudah login di Authenticator. Penyerang tidak perlu izin Android tambahan maupun persetujuan pengguna. Dalam pengujian Enclave, token yang didapat memberi akses delegasi ke email, berkas, dan kalender. Microsoft menggolongkannya sebagai elevation of privilege dengan kelemahan CWE-287, yaitu autentikasi yang tidak memadai. Sumber yang saya baca tidak melaporkan adanya eksploitasi di lapangan.
Enclave melaporkan temuan ini ke Microsoft Security Response Center. Microsoft memperbaikinya dan menerbitkan CVE-2026-80097 pada 8 September 2026, sedangkan Enclave baru memaparkan temuannya di blog pada 23 Oktober.
Siapa yang perlu waspada
Pengguna Android yang memakai akun kerja Microsoft di Authenticator adalah yang paling relevan. Penyerang butuh aplikasinya terpasang lebih dulu, jadi ponsel yang menerima aplikasi dari sumber tidak jelas lebih berisiko. Bagi perusahaan di Indonesia yang membiarkan karyawan memakai ponsel pribadi untuk email dan berkas kantor, celah ini menyentuh data yang bisa dijangkau lewat Microsoft Graph.
Langkah yang perlu diambil
Pengguna sebaiknya membuka Google Play dan memperbarui Microsoft Authenticator ke versi 6.2606.4246 atau yang lebih baru. Setelah itu, tinjau aplikasi yang terpasang dan hapus yang tidak dikenal atau tidak lagi dipakai.
Tim keamanan di organisasi perlu memastikan perangkat yang mengakses akun kerja memakai versi yang sudah diperbaiki, misalnya lewat kebijakan pembaruan wajib di MDM. Cyber Security News juga menyarankan pembatasan instalasi aplikasi di luar toko resmi serta pemantauan aktivitas Microsoft Graph yang janggal, persetujuan (consent) yang tidak wajar, dan pemakaian token dari perangkat yang tidak dikenal. Untuk panduan resmi, rujuk advisori Microsoft untuk CVE-2026-80097.
Pengembang aplikasi Android bisa mengambil pelajaran dari kasus ini: jangan percaya identitas yang diklaim pemanggil, dan tinjau komponen yang diekspor agar tidak terbuka bagi aplikasi lain.
Sumber: Enclave, Cyber Security News, Microsoft Security Update Guide. Gambar: Enclave