Microsoft telah menambal kerentanan keamanan pada aplikasi Authenticator di Android yang memungkinkan aplikasi jahat tanpa izin khusus menyamar sebagai aplikasi terpercaya seperti Microsoft Teams dan mencuri token autentikasi akun kantor korban.
Perusahaan raksasa teknologi ini mencatat bug tersebut sebagai CVE-2026-80097 dan memperbaikinya melalui pembaruan Authenticator Android versi 6.2606.4246, sehingga seluruh pengguna diimbau untuk segera memperbarui aplikasi mereka.
Selama pengujian peneliti, token yang dirampas memberikan hak akses menyeluruh ke pesan email, data file, dan jadwal kalender milik akun target. Kendati demikian, Microsoft mengklaim eksploitasi celah ini memerlukan penyelesaian proses masuk secara manual oleh pengguna di Authenticator, serta belum ada laporan pemanfaatan serangan di dunia nyata.
Temuan ini pertama kali dilaporkan oleh Ofek Levin lewat program fellowship di perusahaan keamanan Enclave, yang mengunggah rincian teknis lengkapnya pada 23 Oktober 2026. Microsoft secara resmi mengidentifikasi nomor CVE tersebut pada 8 September dan memberinya skor CVSS 8,6 dengan tingkat keparahan berlabel “Important”.
Di ekosistem Android, fungsi Authenticator melampaui sekadar penampil kode verifikasi enam digit. Aplikasi ini turut berperan sebagai broker identitas: saat Teams, Outlook, atau perangkat lunak Microsoft lain memerlukan autentikasi pengguna, aplikasi tersebut meminta otorisasi ke Authenticator, lalu Authenticator membalasnya dengan memberikan token berupa tiket digital tanda pengguna telah masuk. Mengingat peran sentral broker dalam mengendalikan seluruh akun, verifikasi ketat terhadap pemohon token menjadi hal mutlak.
Kelemahan teknis inilah yang membuat token jatuh ke tangan entitas yang salah. Authenticator membuka sebuah komponen aktivitas publik bernama AccountChooserActivity yang bisa diaktifkan oleh aplikasi pihak ketiga mana pun di gawai tersebut. Tatkala aplikasi peretas menjalankannya, Authenticator menyusun permohonan token berdasarkan nilai data yang dikirimkan aplikasi peretas, termasuk identitas nama aplikasi yang dipalsukan. Aplikasi penyerang mengaku sebagai Teams, dan sistem broker langsung mempercayainya tanpa curiga.
Prosedur verifikasi tanda tangan digital yang seharusnya menangkal trik manipulasi ini ternyata gagal menjalankan tugasnya. Pengecekan itu menelusuri tanda tangan asli dari aplikasi yang ditiru dan mencocokkannya dengan permintaan masuk. Berhubung aplikasi Teams memang sudah terpasang asli di perangkat, tanda tangan valid tersebut langsung terbaca dan verifikasi pun lolos begitu saja.
Hasil investigasi Enclave mengungkap bahwa Authenticator sebenarnya mampu mendeteksi identitas asli dari aplikasi pemanggil, tetapi data tersebut sama sekali tidak dipakai saat menentukan apakah token boleh diserahkan atau tidak.
Dalam rangkaian percobaan Enclave, manipulasi identitas Teams untuk meminta token Microsoft Graph sukses mengantongi berbagai izin sensitif, termasuk membaca serta mengirim surat elektronik, membuka dan mengedit berkas, hingga mengelola agenda kalender pengguna.
Secara umum, pihak Microsoft menerangkan akibat eksploitasi ini: peretas yang berhasil dapat masuk mengatasnamakan pengguna asli lalu menguras seluruh sumber daya miliknya. Pembobolan token ini menyasar akun kerja yang sedang aktif di Authenticator pada ponsel tersebut, tanpa memengaruhi akun lainnya.
Terdapat satu perbedaan klaim mendasar antara kedua pihak yang patut dicermati pembaca. Laporan Enclave menyebut bukti konsep serangan mereka sanggup meraup token tanpa interaksi pengguna sama sekali, terkecuali keberadaan sesi akun yang memang telah aktif.
Sebaliknya, pedoman resmi Microsoft menyebutkan bahwa skenario eksploitasi menuntut korban memasang aplikasi berbahaya di gawai serta membujuk korban menuntaskan tahapan autentikasi di dalam aplikasi Authenticator. Penilaian skor CVSS dari mereka juga secara eksplisit menandai kebutuhan adanya keterlibatan interaksi pengguna.
Microsoft menegaskan insiden ini belum pernah dieksploitasi dan belum dipublikasikan ke ranah umum sebelum perbaikan dirilis, dengan tingkat peluang penyerangan dinilai “less likely”. Celah ini merupakan bagian agenda pembaruan September 2026 Patch Tuesday serta bukan salah satu dari dua kerentanan Windows yang dilaporkan telah diserang aktif pada periode tersebut. Celah keamanan ini pun belum tercantum pada katalog Known Exploited Vulnerabilities milik CISA AS per 26 Oktober 2026.
Langkah penanganan resminya ialah memutakhirkan Microsoft Authenticator Android ke versi 6.2606.4246 atau versi lebih baru sebagaimana tautan mitigasi Microsoft. Organisasi yang mengelola armada Android dapat memberlakukan batas versi minimum ini melalui konsol manajemen perangkat masing-masing. Walaupun menyajikan tautan perbaikan, anjuran Microsoft tidak merinci apakah pembaruan aplikasi otomatis membatalkan token yang terlanjur dirampas penyerang, sehingga aspek ini belum terjawab dari data yang ada.
