Microsoft Authenticator'da Kritik Güvenlik Açığı: İzinsiz Uygulamalar İş Hesabı Tokenlarını Çalabiliyordu

Microsoft, Android için geliştirdiği Authenticator uygulamasında ciddi bir güvenlik açığı keşfedildiğini ve bu açığı kapatan bir güncelleme yayımladığını duyurdu. CVE-2026-80097 olarak takip edilen açık, cihazda herhangi bir izne sahip olmayan kötü amaçlı bir uygulamanın Teams gibi güvenilir bir Microsoft uygulamasına bürünerek kurbanın iş hesabına ait kimlik doğrulama tokenlarını ele geçirmesine imkân tanıyordu. Açık, CVSS ölçeğinde 8,6 puan alarak "Önemli" düzeyinde derecelendirildi.

Açık Nasıl Çalışıyordu?​

Android'de Authenticator uygulaması yalnızca altı haneli doğrulama kodları üretmekle kalmıyor; aynı zamanda bir aracı görevi üstleniyor. Teams, Outlook veya başka bir Microsoft uygulaması kullanıcı oturumu açmak istediğinde Authenticator'a başvuruyor ve uygulama, kullanıcının oturum açtığını kanıtlayan dijital bir geçiş belgesi olan tokenı karşı tarafa iletiyordu. Bu aracı mekanizma tüm hesaba erişimi kontrol ettiğinden, hangi uygulamaya token verileceği konusunda son derece dikkatli olması gerekiyordu.
Açığın özü şuydu: Authenticator, cihüzdaki herhangi bir uygulama tarafından başlatılabilen AccountChooserActivity adlı bir bileşen barındırıyordu. Saldırganın uygulaması bu bileşeni başlattığında, Authenticator token isteğini saldırganın sağladığı değerlerden oluşturuyordu; bu değerler arasında uygulamanın hangi uygulama olduğunu iddia ettiği bilgisi de yer alıyordu. Uygulama kendisini Teams olarak tanıttı ve aracı buna inandı.
Bu noktada devreye girmesi gereken imza denetimi de beklenen korumayı sağlayamadı. Denetim, taklit edilen uygulamanın gerçek imzasını okuyarak isteğin bu imzayla eşleşip eşleşmediğini kontrol ediyordu. Teams cihazda gerçekten yüklü olduğu için imzası okunabilir durumdaydı ve denetim başarıyla geçiliyordu. Güvenlik firması Enclave'in araştırmacıları ayrıca Authenticator'ın isteği gerçekte hangi uygulamanın yaptığını görebildiğini, ancak bu bilgiyi token verme kararında kullanmadığını ortaya koydu.

Araştırmacıların Bulgularına Göre Erişim Kapsamı​

Enclave bünyesinde bir burs programı aracılığıyla çalışan araştırmacı Ofek Levin, teknik ayrıntıları 23 Ekim 2026 tarihinde kamuoyuyla paylaştı. Levin'in testlerinde Teams kimliğine bürünerek Microsoft Graph tokenları talep etmek; posta okuma ve gönderme, dosya okuma ve yazma ile takvim okuma ve yazma gibi izinleri kapsayan erişim hakları sağladı. Microsoft ise konuyu daha genel bir çerçevede tanımlayarak başarılı bir saldırganın oturum açmış kullanıcı kimliğiyle doğrulama yapabileceğini ve o kullanıcının kaynaklarına erişebileceğini belirtti. Söz konusu tokenların, cihazdaki Authenticator'a bağlı iş hesabıyla sınırlı olduğu ve diğer hesapları kapsamadığı vurgulandı.

Microsoft ile Enclave Arasındaki Farklı Değerlendirme​

İki taraf, açığın nasıl tetiklendiği konusunda birbirinden ayrışan açıklamalar yaptı. Enclave, kavram kanıtı testlerinde tokenların yalnızca cihazda oturum açmış bir hesabın varlığı dışında herhangi bir kullanıcı etkileşimi gerektirmeksizin elde edilebildiğini bildirdi. Microsoft ise güvenlik danışma belgesinde ve CVSS puanlamasında açığın kullanılabilmesi için cihaza kötü amaçlı bir uygulama yüklenmesinin yanı sıra kullanıcının Authenticator'da bir kimlik doğrulama akışını tamamlamasının gerektiğini ifade etti. Bu iki değerlendirme arasındaki fark, okuyucuların dikkate alması gereken bir nokta olarak kayıtlara geçti.
Microsoft, açığın daha önce kamuoyuna duyurulmadığını ve saldırılarda kullanılmadığını açıkladı. Şirket, açığı Eylül 2026 Patch Tuesday kapsamında ele aldı ve istismar olasılığını "daha az muhtemel" olarak değerlendirdi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda 26 Ekim 2026 itibarıyla bu açığa yer verilmiyordu.

Güncelleme ve Kurumsal Önlemler​

Açığın giderildiği sürüm, Android için Microsoft Authenticator 6.2606.4246'dır. Uygulamayı kullanan herkesin bu sürüme güncelleme yapması önerilmektedir. Android cihazlarını yöneten kuruluşlar ise cihaz yönetim sistemleri aracılığıyla bu minimum sürümü zorunlu kılabilir. Microsoft'un danışma belgesi güncellemeyi açıklamakla birlikte, güncellemenin kötü amaçlı bir uygulamanın önceden elde etmiş olabileceği tokenları geçersiz kılıp kılmadığı mevcut kaynaklardan netlik kazanmamaktadır.

Sıkça Sorulan Sorular​

CVE-2026-80097 açığı tam olarak ne tür bir tehdide yol açıyordu?​

Bu açık, cihazda herhangi bir izne sahip olmayan kötü amaçlı bir uygulamanın Teams gibi güvenilir bir Microsoft uygulamasına bürünmesine ve kurbanın iş hesabına ait kimlik doğrulama tokenlarını ele geçirmesine olanak tanıyordu. Araştırmacıların testlerinde elde edilen tokenlar, hesabın e-posta, dosya ve takvim verilerine tam erişim sağladı.

Açık hangi sürümde giderildi ve ne yapılmalı?​

Microsoft, açığı Android için Authenticator'ın 6.2606.4246 sürümünde kapattı. Uygulamayı kullanan herkesin bu sürüme veya daha yenisine güncellemesi öneriliyor. Android cihazları yöneten kuruluşlar, bu minimum sürümü cihaz yönetim araçları aracılığıyla zorunlu hale getirebilir.

Açığı keşfeden araştırmacı kim ve bulgular ne zaman yayımlandı?​

Açık, güvenlik firması Enclave bünyesinde bir burs programıyla çalışan araştırmacı Ofek Levin tarafından keşfedildi. Teknik ayrıntılar 23 Ekim 2026 tarihinde kamuoyuyla paylaşıldı. Microsoft ise CVE'yi 8 Eylül 2026'da atadı.

Microsoft ve Enclave, açığın kullanıcı etkileşimi gerektirip gerektirmediği konusunda neden farklı açıklamalar yaptı?​

Enclave, kavram kanıtı testlerinde tokenların yalnızca cihazda oturum açmış bir hesabın varlığı dışında ek kullanıcı etkileşimi gerektirmediğini bildirdi. Microsoft ise danışma belgesinde ve CVSS puanlamasında açığın kullanılabilmesi için kullanıcının Authenticator'da bir kimlik doğrulama akışını tamamlaması gerektiğini belirtti. İki taraf arasındaki bu farklılık kamuoyuna yansıdı; ancak mevcut kaynaklardan kesin bir uzlaşı noktası ortaya çıkmadı.

Güncelleme yapıldıktan sonra daha önce çalınmış olabilecek tokenlar geçersiz hale geliyor mu?​

Microsoft'un danışma belgesi bu konuda açık bir bilgi sunmuyor. Güncellemenin, kötü amaçlı bir uygulamanın önceden elde etmiş olabileceği tokenları iptal edip etmediği, mevcut kaynaklara göre belirsizliğini korumaktadır.