В популярном мессенджере Signal обнаружена критическая ошибка, из-за которой аудио- и видеозвонки могли продолжаться после того, как пользователь попытался их прервать. В результате передачи звука и, возможно, видео могли происходить без ведома одного из участников. Об этом сообщает издание Register. Суть проблемы заключается в том, что злоумышленник мог перегрузить систему большим количеством запросов, из-за чего приложение не смогло обработать команду на завершение разговора, хотя второй собеседник считал, что связь уже разорвана.
Уязвимость получила идентификатор CVE-2026-113380 и была оценена как критическая с показателем 9,3 балла по международной шкале CVSS. Ошибка затронула библиотеку RingRTC во всех версиях приложения Signal до выпуска 2.72.0. Шкала CVSS используется для оценки серьезности уязвимостей в программном обеспечении, где максимальный показатель 10 баллов указывает на наибольшую опасность. Эксперты отмечают, что использовать эту ошибку для атаки сравнительно несложно, однако она пока не включена в каталог Агентства по кибербезопасности и защите инфраструктуры (CISA), где перечислены уязвимости, применение которых в реальных атаках уже подтверждено.
Signal — это мессенджер, предназначенный для обмена текстовыми и голосовыми сообщениями, фотографиями, видео, а также для проведения аудио- и видеозвонков. Переписка и звонки в приложении защищены сквозным шифрованием, что гарантирует доступность их содержания только для участников общения, но не для разработчиков сервиса. Исходный код Signal открыт, что позволяет независимым специалистам проводить проверку его безопасности.