Debug flag w aplikacjach Microsoftu na Androida. Co oznacza dla użytkowników?

W sześciu popularnych aplikacjach Microsoft 365 na Androida – Word, PowerPoint, Excel, Microsoft 365 Copilot, Microsoft Loop i OneNote – odkryto krytyczną lukę bezpieczeństwa. Badacze z firmy Enclave znaleźli w kodzie produkcyjnym pozostawiony debug flag, który umożliwiał nieautoryzowanym aplikacjom przechwytywanie tokenów dostępu do kont Microsoft. Łączna liczba pobrań tych aplikacji sięga miliardów, co czyni podatność szczególnie poważną. Microsoft potwierdził problem i wydał łatki, ale użytkownicy powinni upewnić się, że mają zainstalowane najnowsze aktualizacje.

Jak działała luka i co umożliwiała atakującym

Jak wynika z raportu opublikowanego przez SecurityWeek, problem sprowadzał się do jednej linii kodu: set IsDebugMode(true). W normalnych warunkach aplikacje Microsoftu na Androida wymieniają między sobą tokeny dostępu, aby użytkownik nie musiał logować się ponownie przy przejściu z Worda do Excela. Mechanizm ten celowo blokuje przekazywanie tokenów aplikacjom innych firm. Debug flag usunął to ograniczenie – każda aplikacja zainstalowana na urządzeniu mogła poprosić o token i go otrzymać.

„To zmieniło zachowanie wokół współdzielenia tokenów dostępu do konta. Z włączonym trybem debugowania pomijana była ochrona, która powinna blokować niezaufane aplikacje przed otrzymywaniem tokenów” – wyjaśniają badacze Enclave w swoim raporcie. Wystarczyło więc, by na telefonie ofiary znalazła się złośliwa aplikacja (np. pozornie nieszkodliwa gra z automatycznymi aktualizacjami), która mogła w tle przechwycić token i wysłać go do atakującego.

Potencjalne skutki dla użytkowników

Przechwycone tokeny to nie tylko dostęp do samej aplikacji. Jak ostrzegają badacze, tokeny FOCI (Family of Client IDs) mogą być wykorzystywane wielokrotnie i odświeżane przez długi czas bez wiedzy ofiary. „Każda aplikacja kontrolowana przez atakującego mogła uzyskać pełny dostęp do danych konta Microsoft ujawnionych w przypadku podatnej aplikacji. Mogły to być e-maile, pliki, dokumenty, komunikacja i informacje z kalendarza” – czytamy w raporcie.

Atakujący mógł nie tylko czytać dane, ale także modyfikować dokumenty czy wysyłać wiadomości w imieniu ofiary. Szczególnie niebezpieczne jest, że użytkownik nie widział żadnych oznak włamania – token był przechwytywany w tle, bez interakcji z ofiarą. Yanir Tsarimi, współzałożyciel Enclave, podkreśla: „Atakujący mógł napisać fragment kodu liczący 15 linii. Po prostu prosił o dostęp do aplikacji Microsoftu i otrzymywał token. Nie ma nic prostszego, bo to funkcja, która powinna tam być”.

Reakcja Microsoftu i dostępne aktualizacje

Microsoft potwierdził zgłoszone podatności i przypisał im numery CVE-2026-41100, CVE-2026-41101 oraz CVE-2026-41102. Łatki zostały wydane 12 maja 2026 roku w ramach cyklu Patch Tuesday, z wyjątkiem podatności w PowerPoint dla Androida (CVE-2026-41102), która została załatana i opublikowana w Google Play Store tego samego dnia. Firma Enclave zaznacza, że wszystkie zgłoszone problemy zostały potwierdzone i naprawione.

Warto dodać, że luka nie dotyczyła aplikacji Teams ani innych produktów Microsoftu na Androida, które nie miały włączonego debug flag. To pokazuje, jak łatwo o błąd w procesie wdrażania oprogramowania – jak zauważają badacze: „Ustawienie deweloperskie trafiło do produkcji w kilku głównych aplikacjach i zmieniło zachowanie systemu chroniącego dostęp do konta. To nie powinno być łatwe do przypadkowego zrobienia. Tutaj nie było wystarczająco trudne”.

Jak się chronić – praktyczne kroki dla użytkowników

Najważniejszym działaniem, jakie mogą podjąć użytkownicy Androida, jest upewnienie się, że wszystkie aplikacje Microsoft 365 są zaktualizowane do najnowszych wersji. Google Play Store automatycznie aktualizuje aplikacje, ale warto ręcznie sprawdzić, czy nie ma oczekujących aktualizacji – zwłaszcza w przypadku Worda, PowerPointa, Excela, Microsoft 365 Copilot, Microsoft Loop i OneNote.

Dodatkowo warto stosować zasadę ograniczonego zaufania do aplikacji instalowanych na telefonie. Nie należy pobierać oprogramowania spoza oficjalnego sklepu Google Play, a także regularnie przeglądać listę zainstalowanych aplikacji i usuwać te, które budzą wątpliwości. W przypadku firmowych urządzeń administratorzy powinni wdrożyć polityki zarządzania aplikacjami (MDM) i monitorować, czy na służbowych smartfonach nie pojawiają się nieautoryzowane programy.

Co dalej – wnioski dla branży

Incydent z debug flag w aplikacjach Microsoftu to kolejny przykład, jak pozornie drobny błąd w procesie programistycznym może prowadzić do poważnych konsekwencji bezpieczeństwa. Dla administratorów i specjalistów ds. bezpieczeństwa jest przypomnieniem, że nawet największe firmy technologiczne mogą popełniać błędy, a ochrona przed nimi wymaga wielowarstwowego podejścia – od aktualizacji, przez monitorowanie, po edukację użytkowników.

Użytkownicy powinni zachować czujność i regularnie aktualizować oprogramowanie, a także zwracać uwagę na nietypową aktywność na swoich kontach Microsoft, taką jak logowania z nieznanych urządzeń czy zmiany w ustawieniach zabezpieczeń. W razie wątpliwości warto skorzystać z opcji weryfikacji dwuetapowej i regularnie sprawdzać historię logowań w portalu account.microsoft.com.