Celah Microsoft Authenticator di Android Memungkinkan App Tanpa Izin Mencuri Token Akun
Clovertechno
26 Oktober 2026
2 menit baca
Microsoft telah memperbaiki kerentanan tingkat tinggi di aplikasi Authenticator untuk Android. Celah yang dilacak sebagai CVE-2026-80097 (CVSS 8.6) memungkinkan aplikasi berbahaya yang tidak memiliki permission sama sekali untuk mencuri access token akun kerja (work account).
Menurut laporan Cyber Security News dan penelitian Enclave, masalah ini berada di komponen broker Authenticator. Aplikasi jahat dapat menyamar sebagai aplikasi Microsoft tepercaya dan meminta token tanpa interaksi pengguna yang berarti, asalkan Authenticator terpasang dan akun kerja sudah login.
| Aspek | Detail |
|---|---|
| CVE | CVE-2026-80097 |
| Skor CVSS | 8.6 (High) |
| Jenis | Local Elevation of Privilege / Improper Authentication |
| Platform | Microsoft Authenticator untuk Android |
| Versi Rentan | Sebelum 6.2606.4246 |
| Versi Perbaikan | 6.2606.4246 ke atas |
Bagaimana Kerentanan Bekerja?
Peneliti Enclave menemukan bahwa Authenticator mengekspos activity bernama com.microsoft.identity.client.AccountChooserActivity. Activity ini dapat dipanggil oleh aplikasi lain di perangkat yang sama.
Aplikasi berbahaya tanpa permission khusus dapat mengirim permintaan seolah-olah berasal dari aplikasi Microsoft resmi (misalnya Teams). Karena identitas pemanggil tidak diverifikasi dengan benar, broker Authenticator menyerahkan token akun kerja yang sedang login.
Token yang diperoleh dapat mencakup access token, refresh token, dan ID token. Dampaknya bisa mencapai akses ke mailbox, kalender, file OneDrive, SharePoint, hingga layanan terkait Microsoft Graph dan Teams.
Siapa yang Terdampak?
Kerentanan memengaruhi perangkat Android yang:
- Menginstal Microsoft Authenticator
- Memiliki akun kerja (work/school account) yang sudah sign-in
Organisasi yang menggunakan perangkat Android untuk mengakses Microsoft 365 berisiko lebih tinggi. Eksploitasi bersifat lokal (membutuhkan aplikasi jahat yang sudah terpasang di perangkat yang sama), bukan serangan jarak jauh murni.
Langkah Mitigasi
Microsoft merilis perbaikan pada versi 6.2606.4246. Pengguna dan organisasi disarankan untuk:
- Segera memperbarui Microsoft Authenticator melalui Google Play Store
- Memastikan perangkat managed sudah menjalankan versi 6.2606.4246 atau lebih baru
- Memeriksa kebijakan instalasi aplikasi di perangkat kerja (hindari sumber tidak tepercaya)
- Memantau aktivitas mencurigakan terkait token dan akses Microsoft 365
Jika pembaruan otomatis aktif, sebagian besar perangkat kemungkinan sudah mendapatkan patch. Tetap verifikasi versi aplikasi secara manual untuk memastikan.
Catatan Penting
Kerentanan ini tidak merusak mekanisme MFA secara keseluruhan. Ia memanfaatkan kelemahan pada komponen broker di perangkat yang sama. Meski demikian, dampak pencurian token akun kerja tetap signifikan, terutama di lingkungan enterprise.
Keamanan autentikasi dan manajemen identitas menjadi semakin krusial. Organisasi perlu memastikan aplikasi autentikasi selalu diperbarui, ditambah dengan kontrol aplikasi dan monitoring akses yang ketat.
Jika perusahaan Anda membutuhkan bantuan dalam audit keamanan mobile, pengamanan Microsoft 365, manajemen identitas, atau pengembangan solusi keamanan digital, tim Clovertechno siap membantu. Kunjungi clovertechno.id untuk konsultasi jasa pembuatan software dan solusi keamanan sesuai kebutuhan bisnis Anda.
