Критична уязвимост в библиотеката за разговори на Signal би могла да позволи на злонамерен участник в разговор да продължи да чува звук, след като другият потребител се опита да затвори.

Проблемът в сигурността, проследяван като CVE-2026-113380, засяга версии на RingRTC преди 2.72.0 и има оценка за тежест по CVSS от 9.3. Видеото също би могло да остане активно, въпреки че публикуваното описание не потвърждава категорично това поведение.

RingRTC осигурява функциите за гласови и видео разговори на Signal в неговите мобилни и десктоп приложения. Проблемът засяга начина, по който разговорите се прекратяват, а не начина, по който Signal криптира комуникацията. Защитената връзка все още може да пренася поверителен звук, ако софтуерът не успее да я затвори, когато потребителят натисне бутона за край на разговора.

Проблемът е свързан с вътрешна опашка за събития, използвана от крайния автомат (finite-state machine, FSM) на RingRTC. Този компонент следи състоянието на разговора и обработва инструкциите, управляващи неговата работа. Злонамерен участник може да претовари опашката и да попречи на стъпките, необходими за прекратяване на разговора.

Уязвимост в Signal

Според описанието на уязвимостта в GitHub от Imahian, отдалечена отсрещна страна може да запълни опашката със събития и да попречи на локалното затваряне да прекрати напълно разговора, оставяйки потенциално аудиото достъпно за другия участник, след като потребителят смята, че разговорът е приключил.

Атаката изисква злонамерен участник в разговора. Тя не е описана като начин външен атакуващ без връзка с разговора да включи микрофона на който и да е потребител на Signal.

Наличните доклади също така оставят важни подробности неизяснени, включително какво биха видели засегнатите потребители на екрана и колко дълго може да продължи нежеланото предаване на данни.

Демонстрацията на Python симулира как наредените на опашка събития могат да блокират обработката на затварянето, но се изпълнява офлайн и не атакува директно Signal, нито доказва реална експлоатация в реална среда.

Корекцията прави прекратяването на разговора по-малко зависимо от претоварената опашка за събития. RingRTC 2.72.0 въвежда отделен флаг за прекратяване, който автоматите на състоянията на разговора и връзката могат да проверяват независимо. Той също така добавя петсекунден лимит за изчакване при изключване, което позволява почистването на ресурсите да продължи, когато отделни стъпки се провалят.

Анализът на корекцията за сигурност описва тестове, обхващащи пълни опашки и неуспешни известия на приложението. Те проверяват дали затварянето прекратява симулираната връзка, изключва изходящия звук и изчиства компонента, обработващ изходящите медийни пакети. Промяната засилва надеждността при прекратяване на разговор, вместо да променя или заменя криптирането на Signal.

Потребителите на Signal трябва да инсталират наличните актуализации на всеки телефон и компютър, който използват. Разработчиците, създаващи приложения с RingRTC, трябва да използват версия 2.72.0 или по-нова.

Въпреки това прегледаните доклади не посочват първата коригирана версия на приложението Signal за всяка платформа, така че версията на библиотеката не трябва да се представя като версия на самото приложение.

Този дефект се различава от предишни докладвани атаки чрез свързани устройства в Signal, които бяха насочени към достъп до акаунта, както и от кампании с представяне под чужда самоличност като поддръжка на Signal, при които потребителите бяха подвеждани да споделят данни за регистрация. Тези инциденти използваха различни методи за атака, а не този срив при прекратяване на разговор.

Прегледаните материали не съобщават за известна реална злонамерена експлоатация. Въпреки това потенциалното изтичане на информация е от голямо значение за поверителни разговори. Инсталирането на корекции за сигурност отстранява основния софтуерен риск, докато проверката дали индикаторите за активен разговор и микрофон са изчезнали осигурява допълнителна практическа предпазна мярка, преди да се обсъжда поверителна информация в близост до устройството.