Уязвимост в библиотеката за разговори на Signal може да позволи на отсрещната страна в обаждането да продължи да приема аудиото, а вероятно и видеото на потребителя, след като той е затворил.
Проследявана като CVE-2026-113380, уязвимостта засяга версии на RingRTC преди 2.72.0. RingRTC е библиотеката с отворен код, която осигурява гласовите и видео разговорите в приложенията на Signal и е изградена върху WebRTC – технологията, използвана от уеб браузърите за аудио и видео в реално време.
В записа за CVE се посочва, че „отсрещна страна, която пренасити опашката на крайния автомат (FSM) на обаждането, може да попречи на възможността локалното прекратяване да разпадне връзката (заедно с нейната аудио и вероятно видео писта)“.
MITRE публикува записа за CVE на 20 октомври 2026 г. с оценка по CVSS 4.0 от 9.3. Оценката определя въздействието върху поверителността и целостта на уязвимата система като високо, а въздействието върху нейната наличност – като нулево. Рейтингът описва атака, осъществявана през мрежата, с ниска сложност и без необходимост от привилегии.
CISA все още не е добавила проблема към своя каталог с известни експлоатирани уязвимости (KEV), а Националната база данни за уязвимости (NVD) го класифицира като очакващ анализ.
Проблемът е документиран от изследовател, който публикува бележки в GitHub под псевдонима Imahian. В неговия доклад локалното прекратяване на разговор се описва като „просто още едно събитие, поставено в края на опашката за събития на крайния автомат на обаждането“.
Другата страна в разговора може да добавя събития към същата тази опашка, като Imahian посочва, че RingRTC се доверява на отдалечения участник, без „ограничение на честотата на генерираните от участника събития и без приоритетна лента за прекратяване на обаждането“.
Демонстрацията на концепцията (proof of concept), определена като концептуална, започва с обикновено обаждане в Signal, инициирано от атакуващия, който след това препълва опашката от събития с ненужни данни. Когато жертвата натисне бутона за затваряне, събитието засяда зад това натрупване, а аудиото и евентуално видеото от разговора „продължават да се предават към атакуващия, докато жертвата смята, че разговорът е приключил“, пише Imahian.
Уязвимостта засяга „всеки клиент на Signal, вграждащ по-стара компилация на RingRTC“ на Android, iOS и Desktop, докато всеки от тях не предостави коригираната библиотека, се отбелязва в доклада.
Проблемът е коригиран в RingRTC 2.72.0, като записът за CVE води към съответния комит в хранилището на библиотеката в GitHub.
Към момента няма известни данни за активна експлоатация, а детайлите около атаката са оскъдни извън концептуалния proof of concept. Потребителите на Signal трябва да инсталират актуалните корекции за сигурност на приложението на всяко устройство, което използват за разговори.