كشف الباحث Ofek Levin من شركة Enclave في 23 أكتوبر 2026 عن ثغرة أمنية في تطبيق Microsoft Authenticator المخصص لنظام Android، تتيح لأي تطبيق خبيث مثبت على الجهاز الاستيلاء على رموز الدخول الخاصة بحسابات العمل. تُعرف هذه الثغرة باسم AuthMask وتحمل المعرف (CVE-2026-80097 بتقييم CVSS عند 8.6) وفق تصنيف Microsoft التي نشرت تفاصيلها الأولية في 8 سبتمبر 2026، وتصنف كثغرة تصعيد صلاحيات محلي.
أوضحت Enclave أن التطبيق يعرض نشاطاً داخلياً يسمى AccountChooserActivity، يمكن لأي تطبيق آخر على الجهاز تشغيله، حيث يقتصر التحقق على التأكد من وجود تطبيق يستدعيه. بناء على ذلك، يقدم التطبيق المتصل بيانات هويته بنفسه، بدءاً من اسم الحزمة ومعرف العميل، وصولاً إلى عنوان إعادة التوجيه والنطاقات المطلوبة.
تعتمد آلية الفحص على مقارنة عنوان إعادة التوجيه بعنوان آخر يستخرج من توقيع التطبيق الذي يدعي المتصل تمثيله. ونظراً لقدرة المهاجم على قراءة هذا التوقيع العلني وبناء العنوان ذاته، فإن الفحص ينجح دائماً بحسب Enclave. ورغم أن تطبيق Authenticator يتعرف على الحزمة المتصلة فعلياً، فإنه يوظف هذه المعلومة لأغراض داخلية بحتة ولا يعتمد عليها لاتخاذ قرار الثقة.
بينت Enclave أن الفحص أجرى مقارنة للعنوان مع توقيع حزمة تطبيق Teams المثبتة على الجهاز، وهو توقيع متاح للعلن ويمكن إعادة إنتاجه بسهولة. يتطلب نجاح الهجوم وجود تطبيق Authenticator وحساب عمل واحد مسجل الدخول على الجهاز المستهدف، في حين لا يحتاج التطبيق الخبيث إلى امتلاك أي صلاحيات خاصة ضمن نظام Android.
بمجرد قبول الطلب، يرسل التطبيق رموز الوصول والتحديث والهوية إلى الجهة المتصلة. وقد أثبتت تجارب الباحث أن تطبيقاً ينتحل صفة Teams ويطلب نطاقات Microsoft Graph، تمكن من الحصول على وصول مفوض بالكامل إلى البريد الإلكتروني، والملفات، والتقويم الخاص بحساب العمل المسجل على الجهاز.
أشارت Zero Day Initiative في مراجعتها لتحديثات شهر سبتمبر إلى أن المهاجم يحتاج إلى تثبيت تطبيقه الخبيث على جهاز Android، ثم إقناع المستخدم بإكمال تسلسل المصادقة ليتمكن من سحب الرموز والوصول إلى الموارد بصلاحيات الضحية. ووصف Dustin Childs، الباحث في المبادرة، هذه الثغرة بأنها من أسوأ أشكال تصعيد الصلاحيات لكونها تضرب جوهر نظام المصادقة، محذراً المؤسسات التي تمتلك قاعدة واسعة من مستخدمي Android من تجاهل هذا التهديد.
يوضح سجل الثغرة أن مسار الهجوم محلي ولا يتطلب صلاحيات مسبقة، لكنه يشترط تفاعلاً من المستخدم، ويترتب عليه أثر بالغ على السرية والسلامة والتوافر مع تغير في نطاق التأثير. في المقابل، تؤكد Enclave أن تنفيذ الهجوم لا يتطلب أي تفاعل فعلي من المستخدم.
تؤثر الثغرة على جميع الإصدارات السابقة للنسخة 6.2606.4246 من التطبيق، والتي أصدرت Microsoft تحديثاً لمعالجتها. تشير نسخة StarLabs من تقييم Microsoft إلى أن الثغرة لم تُستغل فعلياً، واحتمالية استغلالها منخفضة، ولم تكن معروفة للعامة، كما أنها غير مدرجة في فهرس CISA للثغرات المستغلة، وهو ما يتوافق مع تدوينة Enclave التي لم ترصد أي استغلال نشط.
نشرت Enclave تفاصيل بحثها بعد مرور قرابة ستة أسابيع على إعلان المعرف الرسمي، وجاء ذلك ضمن إطار برنامج Enclave Fellowship. لم تتضمن سجلات Microsoft التي تمت مراجعتها أي حلول أمنية مؤقتة لتخفيف الخطر باستثناء التحديث المباشر للتطبيق.
