В мессенджере Signal обнаружена критическая уязвимость безопасности, которая позволяет аудио- и видеопотокам продолжать передачу собеседнику даже после того, как пользователь завершил разговор. Об этом стало известно 23 октября 2026 года, а к 24 октября информация была детально проанализирована специалистами. Баг, получивший индекс CVE-2026-113380, затронул собственную библиотеку вызовов разработчика RingRTC во всех версиях до 2.72.0 включительно. Эта библиотека, построенная на базе технологии WebRTC, отвечает за реализацию голосовой и видеосвязи в приложении.
Суть проблемы заключается в ошибке обработки команд завершения вызова внутри конечного автомата (FSM), управляющего состоянием звонка. Исследователи классифицировали уязвимость как атаку типа «отказ в обслуживании» (DoS). Злоумышленник может перегрузить очередь событий системы множеством запросов, из-за чего механизм обработки команды на прекращение разговора перестает функционировать. В результате один из участников может нажать кнопку завершения звонка, считая разговор оконченным, в то время как каналы передачи звука и видео остаются активными. Второй участник продолжает слышать и видеть собеседника без его ведома.
Оценка серьезности уязвимости по международной шкале CVSS составила 9,3 из 10 баллов, что относит её к категории критических. Сложность эксплуатации бага оценивается как низкая. Для демонстрации возможности атаки был опубликован концептуальный пример (proof-of-concept) на Python, который показывает, как переполнение очереди событий блокирует обработку запросов на завершение вызова. Несмотря на высокую оценку риска, Агентство по кибербезопасности и защите инфраструктуры (CISA) пока не включило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV), так как подтвержденных данных о её реальном использовании в атаках на данный момент нет.
Разработчики Signal оперативно выпустили исправление, включенное в обновление библиотеки RingRTC. Новая версия устраняет проблему, позволяя конечному автомату корректно распознавать команды на завершение звонка независимо от нагрузки на очередь событий. Кроме того, в код был добавлен механизм тайм-аута, который предотвращает зависание процесса завершения вызова в случае технических сбоев системы. Обновление необходимо установить пользователям как мобильных, так и десктопных версий приложения, чтобы избежать ситуации, когда микрофон или камера продолжают работать после окончания разговора без уведомления.
Уязвимость была выявлена в рамках анализа безопасности открытого исходного кода Signal. Технология WebRTC, используемая в качестве основы, обеспечивает шифрование медиапотока, однако ошибка возникла в специфической надстройке RingRTC, реализующей функции мессенджера. Исследователи указывают, что при определенных условиях сбой в управлении состоянием вызова может привести к непреднамеренной утечке конфиденциальной информации. Пользователям рекомендуется срочно обновить приложение до последней доступной версии, чтобы нейтрализовать риски несанкционированного прослушивания или наблюдения.