אפליקציה שהתקנתם מהחנות, כזאת שלא ביקשה מכם אף הרשאה, יכולה לפנות לאפליקציה אחרת על אותו מכשיר ולבקש ממנה משהו. זה חלק מהתכנון של אנדרואיד ובדרך כלל הוא שימושי. הבעיה מתחילה כשהאפליקציה שנשאלת היא Microsoft Authenticator, זאת שמנהלת את ההתחברות לחשבון העבודה שלכם, והיא לא בודקת מי בדיוק שאל.

מה קרה

ה-Authenticator באנדרואיד עובד כמתווך. כשטימס, אאוטלוק או אפליקציה אחרת של מיקרוסופט צריכות להתחבר לחשבון, הן פונות אליו והוא מנפיק להן token, כרטיס כניסה זמני שמאשר לאפליקציה לגשת לנתונים בשם המשתמש בלי להקליד סיסמה שוב. חוקר בשם אופק לוין (Ofek Levin), שעבד במסגרת תוכנית עמיתים בחברת האבטחה Enclave, מצא שאחד המסכים הפנימיים של ה-Authenticator פתוח לקריאה מכל אפליקציה אחרת על המכשיר, ושאפשר לפנות אליו ולהצהיר פשוט "אני טימס".

אמורה להיות שם בדיקה שמונעת את זה, והיא עובדת כך: היא מאתרת את החתימה הדיגיטלית האמיתית של האפליקציה שהפונה טוען שהוא, ומשווה אליה. כאן נמצאת הבעיה. אם טימס באמת מותקן על המכשיר, החתימה שלו זמינה, והבדיקה עוברת בשלום. ה-Authenticator ידע לזהות איזו אפליקציה פנתה אליו בפועל, ופשוט לא השתמש במידע הזה כשהחליט אם להנפיק token. בבדיקות של Enclave ה-token שחזר כלל הרשאות לקרוא ולשלוח דואר, לקרוא ולכתוב קבצים ולגשת ליומן של חשבון העבודה שמחובר לאותו מכשיר.

על נקודה אחת שתי הגרסאות לא מסתדרות. Enclave מספרת שאצלה זה עבד בלי שום פעולה מצד המשתמש, ומיקרוסופט כותבת בהודעה שלה שנדרש גם שהמשתמש ישלים תהליך אימות באפליקציה. הווקטור הרשמי שמיקרוסופט פרסמה ל-CVE-2026-80097, בציון 8.6, כולל דרישת אינטראקציה מהמשתמש, כלומר הוא תומך בגרסה שלה. מיקרוסופט אומרת גם שהחולשה לא נוצלה בתקיפות, ושהיא לא פורסמה לפני שהתיקון היה בחוץ.

למה זה חשוב לכם

Authenticator הוא ברירת המחדל בהמון מקומות עבודה בישראל שעובדים עם Microsoft 365, ורוב מי שהתקין אותו עשה את זה כי ה-IT דרש. האפליקציה הזאת היא לרוב מה שעומד בין תיבת הדואר של העבודה לבין מי שמנסה להיכנס אליה, ולכן חולשה שמאפשרת להוציא ממנה כרטיס כניסה בלי סיסמה ובלי קוד יושבת דווקא בשכבה שאמורה להגן על כל השאר. גבול אחד כאן נוח: ה-token שהתקבל תקף לחשבון העבודה שמחובר לאותו מכשיר, ולא לכל חשבון בארגון.

מה עושים?

פתחו את חנות Play, חפשו Microsoft Authenticator ולחצו עדכון. הגרסה המתוקנת היא 6.2606.4246 ומעלה, ואת המספר שמותקן אצלכם רואים בתוך האפליקציה, במסך העזרה.

אם המכשיר מנוהל בידי מקום העבודה, שאלו את ה-IT אם נאכפת גרסה מינימלית של האפליקציה. מיקרוסופט מציינת שארגונים יכולים לדרוש את זה דרך מערכת ניהול המכשירים.

מחקו אפליקציות שהתקנתם ואתם לא זוכרים למה. כל התרחיש הזה דורש שאפליקציה זדונית תהיה על המכשיר, וזה השלב היחיד שבאמת בשליטתכם.

התקינו אפליקציות מחנות Play בלבד, לא מקובץ APK שהגיע בקישור או בקבוצה.

מיקרוסופט אומרת שהחולשה לא נוצלה, ואין סיבה להניח אחרת. את מספר הגרסה כדאי לבדוק בכל זאת, כי הוא החלק היחיד בסיפור הזה שנסגר בלחיצה אחת.