Ofek Levin, peneliti yang bekerja lewat program fellowship di firma keamanan Enclave, merinci celah di Microsoft Authenticator untuk Android yang ia beri nama AuthMask. Sebuah aplikasi jahat tanpa izin khusus bisa menyamar sebagai aplikasi Microsoft tepercaya, misalnya Teams, lalu meminta token masuk untuk akun kerja korban. Celah ini tercatat sebagai CVE-2026-80097 dengan skor CVSS 8,6, dan Microsoft melabelinya Important.
Cara celah ini bekerja
Authenticator berperan sebagai perantara bagi aplikasi Microsoft lain. Ketika Teams atau Outlook perlu login, aplikasi itu meminta token ke Authenticator. Menurut Enclave, Authenticator membuka satu komponen yang bisa dipanggil aplikasi mana pun di perangkat, dan pemanggil boleh menyebut nama aplikasi yang ingin ia tiru. Pemeriksaan tanda tangan memang ada, tetapi membandingkan permintaan dengan tanda tangan asli aplikasi yang ditiru. Karena Teams terpasang di ponsel, pemeriksaan itu lolos. Authenticator sebenarnya tahu aplikasi mana yang benar-benar memanggil, tetapi informasi itu tidak dipakai saat memutuskan memberi token.
Dalam uji Enclave, token yang didapat membuka izin Microsoft Graph untuk membaca dan mengirim surel, membaca dan menulis berkas, serta mengelola kalender. Token itu hanya berlaku untuk akun kerja yang sedang masuk di Authenticator pada perangkat tersebut. Microsoft menilai penyerang bisa bertindak sebagai pengguna itu dan mengakses sumber dayanya. Satu laporan lain, dari Daily CyberSecurity, juga menyebut risiko refresh token dan pendaftaran passkey tanpa izin, tetapi rincian itu belum dikonfirmasi di sumber lain.
Status perbaikan dan eksploitasi
Microsoft merilis perbaikan di Authenticator versi 6.2606.4246 pada 8 September 2026, bersamaan dengan Patch Tuesday bulan itu. Enclave menerbitkan rincian teknisnya pada 23 Oktober. Microsoft menilai eksploitasi “kurang mungkin”, menyatakan celah ini tidak dieksploitasi di dunia nyata, dan mengaku belum ada pengungkapan publik sebelum patch keluar. CVE-2026-80097 juga belum masuk katalog KEV milik CISA per 26 Oktober.
Ada selisih keterangan soal interaksi pengguna. Enclave menyebut bukti konsepnya mendapat token tanpa interaksi tambahan selain adanya akun yang sudah masuk. Advisori Microsoft menyatakan serangan membutuhkan aplikasi jahat di perangkat dan pengguna yang menyelesaikan alur autentikasi di Authenticator. Satu laporan juga mencantumkan rentang versi terdampak yang berakhir di nomor versi perbaikan yang sama, jadi cocokkan nomor build dengan advisori resmi Microsoft.
Langkah yang perlu Anda ambil
Pengguna Android perlu memperbarui Microsoft Authenticator ke versi 6.2606.4246 atau yang lebih baru lewat Google Play, lalu menghapus aplikasi yang tidak dikenal dari ponsel yang dipakai untuk akun kerja. Administrator yang mengelola perangkat Android bisa menetapkan versi minimum itu lewat alat manajemen perangkat. Sumber yang ada tidak menjelaskan apakah pembaruan membatalkan token yang mungkin sudah diambil, sehingga tim keamanan sebaiknya memeriksa log masuk akun kerja dan mencabut sesi yang mencurigakan. Pola pembajakan sesi serupa pernah kami bahas di laporan Huntress tentang token replay Microsoft 365.
Sumber: The Hacker News dan Daily CyberSecurity. Gambar: The Hacker News.