Microsoft, Android için Authenticator uygulamasındaki bir açığı kapattı. CVE-2026-80097 koduyla izlenen hata, yetki gerektirmeyen Android uygulamalarının iş hesabı belirteçlerini çalmasına kapı aralıyordu. Şirket, düzeltmeyi Authenticator for Android 6.2606.4246 sürümüyle dağıttı ve uygulamayı kullanan herkesin güncelleme yapması gerektiğini bildirdi.
Token sızıntısı hangi noktada oluştu
Araştırmacıların testlerinde, açık sayesinde uygulamanın iş hesabı oturumlarını taşıyan token’lara erişim mümkün hale geldi. Bu tür belirteçler, kurumsal hesaplara tekrar giriş yapılmadan erişim sağladığı için saldırganın elinde doğrudan hesap ele geçirme aracına dönüşebiliyor. Microsoft, zafiyeti kapatırken etkilenen kullanıcıların yeni sürüme geçmesini istedi.
Zafiyetin teknik detayları kamuoyuna sınırlı yansırken, kod adının CVE-2026-80097 olarak kayda geçtiği ve yamanın Authenticator’ın Android sürümüne eklendiği netleşti. NVD kaydı da açığın takibini kolaylaştırıyor: https://nvd.nist.gov/vuln/detail/CVE-2026-80097
Kurumsal kimlik doğrulama uygulamalarında saklanan token’lar, özellikle mobil cihazların iş e-postası, bulut hizmetleri ve dahili portallara erişiminde kritik rol oynuyor. Bu nedenle açığın, Android tarafındaki güncel kurulumlar üzerinde hızla kapatılması gerekiyor. Araştırmacıların incelediği senaryoda sorun, uygulama yetkisi istemeyen sıradan Android uygulamalarının dahi bu token akışına ulaşabilmesiydi.