​Dipublikasikan pada 26 Oktober 2026, CVE-2026-80097 merupakan kerentanan pada Microsoft Authenticator untuk Android dengan tingkat severity Tinggi (CVSS 8.6). Kerentanan ini memungkinkan aplikasi berbahaya mencuri token akun korban tanpa memerlukan izin di Android.

1. Aplikasi berbahaya yang terpasang di HP korban memanggil Microsoft Authenticator dan berpura-pura menjadi aplikasi resmi (misalnya Microsoft Teams).
2. Authenticator tertipu karena hanya melihat "nama" aplikasi yang diklaim, tanpa mengecek identitas asli dari aplikasi yang memanggilnya.
3. Tanpa meminta password atau persetujuan klik dari korban, aplikasi berbahaya tersebut langsung diberikan "kunci digital" (token) oleh Authenticator.
4. Berbekal kunci digital curian ini, peretas bisa bebas mengakses data kerja korban di layanan Microsoft.

Perangkat Android dengan Microsoft Authenticator versi rentan (di bawah 6.2606.4246) yang sudah login menggunakan akun kerja.

1. ​Perbarui Microsoft Authenticator melalui Google Play ke versi 6.2606.4246 atau yang lebih baru.
2. ​Terapkan pembaruan aplikasi secara serentak melalui sistem manajemen perangkat (MDM/EMM) perusahaan.
3. ​Batasi pemasangan aplikasi dari luar official store dan tinjau ulang aplikasi yang ada di HP.