У Signal знайшлі баг, які дазваляў падслухоўваць пасля завяршэння званка

У месенджары Sig­nal выявілі крытычную ўразлівасць, праз якую мікрафон мог працягваць перадаваць гук пасля завяршэння званка. У некаторых выпадках актыўнай магла заставацца і камера.

Уразлівасць CVE-2026–113380 атрымала адзнаку 9,3 з 10 па міжнароднай шкале CVSS — гэта крытычны ўзровень небяспекі. Праблема закранала бібліятэку RingRTC, якую Sig­nal выкарыстоўвае для галасавых і відэазванкоў.

Памылка дазваляла аднаму з удзельнікаў размовы перагрузіць сістэму апрацоўкі каманд. У выніку Sig­nal мог не выканаць каманду завяршэння званка, хоць іншы карыстальнік лічыў, што ўжо адключыўся. Гэта стварала рызыку далейшай перадачы гуку і, магчыма, відэа без ягонага ведама.

Уразлівасць не закранала шыфраванне Sig­nal і не дазваляла старонняй асобе падключацца да чужых званкоў. Для яе выкарыстання зламыснік сам павінен быў удзельнічаць у размове. Выпраўленне змяніла механізм завяршэння выкліку, каб перагрузка сістэмы не перашкаджала адключэнню мікрафона і злучэння.

Уразлівасць ухілілі яшчэ ў верасні, выпусціўшы версію RingRTC 2.72.0, аднак публічна пра яе паведамілі толькі 20 кастрычніка. Звестак пра яе выкарыстанне ў рэальных атаках пакуль няма. Карыстальнікам рэкамендуюць абнавіць месенджар да апошняй даступнай версіі.