Microsoft Authenticator Açığı Sıfır İzinle Şifreleri Çaldırdı

İzinsiz bir uygulama Authenticator'ı nasıl kandırdı?

Sorunun kaynağı, kimlik doğrulama isteği gönderen Android uygulamalarının dijital kimliğinin denetlenmemesiydi.

Microsoft Authenticator, Android işletim sisteminde merkezi bir kimlik doğrulama aracısı (broker) olarak çalışıyor. Outlook veya Teams gibi resmi Microsoft 365 uygulamaları bir kurumsal hesaba bağlanmak istediğinde, Authenticator arka planda belirteç üretimini üstleniyor ve kullanıcıyı her seferinde şifre yazma zahmetinden kurtarıyor.

Siber güvenlik kuruluşu Enclave araştırmacıları, Authenticator'ın kendisinden belirteç isteyen uygulamanın gerçekten iddia ettiği resmi yazılım olup olmadığını doğrulamadığını fark etti. Yapılan laboratuvar testlerinde araştırmacılar, sisteme sıfır izin ile kurulan basit bir üçüncü taraf uygulama hazırladı. Bu uygulama, Authenticator'a Microsoft Teams'in paket kimliği ve yönlendirme adresini içeren standart bir erişim talebi iletti.

Authenticator kendisine sunulan üst veriyi doğrudan doğru kabul etti. Gelen talepteki parametreler resmi Teams uygulamasıyla eşleştiği için oturum belirteçleri hiçbir onay ekranı veya bildirim çıkmadan doğrudan sahte uygulamaya teslim edildi.

Microsoft Authenticator Android açığı teknik detayları

Şifreye ve iki adımlı doğrulamaya takılmayan erişim

Geçerli oturum anahtarını ele geçiren saldırganlar, tüm Microsoft 365 ortamına tam yetkiyle erişebiliyor.

Oturum belirteçleri (session tokens), kimlik doğrulama sunucusu tarafından oturumun zaten açıldığını teyit eden dijital biletler niteliğinde. Bu nedenle parolaları, iki aşamalı doğrulamayı ve hatta kurumsal Microsoft Teams için yapay zeka koruması gibi gelişmiş filtreleri tamamen devre dışı bırakıyor. Araştırmacılar ele geçirilen bu anahtarlarla Teams mesajlaşmalarını okuyabildi, şirket e-postalarını indirdi ve hesaplara bağlı geçiş anahtarlarını (passkey) değiştirebildi.

Mobil güvenlik dünyasında kullanıcılara her zaman şüpheli izinler isteyen uygulamalara dikkat etmesi söylenir. Rehber, SMS ya da erişilebilirlik yetkisi istemeyen bir yazılım genellikle tehdit olarak görülmez. Bu açık tam da bu güvenlik kurgusunu çökerterek hiçbir yetki talep etmeyen masum görünümlü bir aracın tüm şirket verilerini çalabilmesine yol açtı.

Sürüm numaranızı hemen kontrol edin

Authenticator uygulamasını Google Play Store üzerinden güncellemek bu açığı tamamen kapatıyor.

Microsoft açığı CVE-2026-80097 koduyla resmen kabul etti ve acil bir güvenlik güncellemesi dağıttı. 6.2606.4246 sürümünden eski olan tüm Android sürümleri savunmasız durumda bulunuyor.

Enclave ekibi bu yöntemin yalnızca kapalı laboratuvar ortamında test edildiğini ve henüz siber saldırganların eline geçtiğine dair bir ize rastlanmadığını belirtti. Ancak açık kapatılmadığı takdirde benzer sahte paketlerin hızla türeyebileceği vurgulanıyor.

Türkiye'de durum ne?

Güncelleme Türkiye'deki Google Play Store kullanıcıları için aktif olarak dağıtımda. Android cihazınızda otomatik uygulama güncellemeleri açıksa telefonunuz bu yamayı arka planda almış olabilir.

Yine de kontrol etmekte fayda var: Authenticator uygulamasını açıp Ayarlar menüsünün en altına inerek sürüm numaranızı kontrol edebilirsiniz. Eğer versiyon numaranız 6.2606.4246'nın altındaysa Google Play üzerinden acilen 'Güncelle' butonuna basmanız gerekiyor.