Signal: уязвимость позволяет слушать пользователя после завершения звонка

Уязвимость CVE-2026-113380 позволяет слушать пользователя после завершения звонка

Signal использует библиотеку RingRTC для голосовых и видеозвонков. Уязвимость CVE-2026-113380 затрагивает версии RingRTC до 2.72.0. Она позволяет другому участнику звонка продолжать прослушивать пользователя после его завершения. Уязвимость не влияет на шифрование переписки. Злоумышленник может переполнить очередь событий звонка и помешать его корректному завершению. Это может привести к нежелательному прослушиванию аудио после того, как пользователь посчитал разговор оконченным. Уязвимость также может оставлять видеоактивным, но детали этого поведения не уточняются. Нет подтвержденных случаев эксплуатации уязвимости в реальных условиях. Уязвимость не связана с компрометацией учетных записей или утечкой сообщений.

RingRTC обеспечивает работу звонков в Signal

RingRTC — это библиотека с открытым исходным кодом. Она отвечает за функциональность голосовых и видеозвонков в Signal. Библиотека предоставляет компоненты для мобильных и настольных приложений Signal. Уязвимость связана с процессом завершения звонка в библиотеке. Она не затрагивает механизм шифрования разговоров. Успешная эксплуатация уязвимости может позволить злоумышленнику слышать аудио, которое пользователь больше не намерен передавать. Это могут быть случайные замечания или разговоры с окружающими.

Обновиться до актуальной версии Signal

Разработчики Signal обновили код библиотеки RingRTC. Изменения повышают устойчивость процесса завершения звонка при переполнении очереди событий или сбое других шагов отключения. Пользователям необходимо установить доступные обновления Signal на своих устройствах. Исправление доступно в библиотеке RingRTC. Конкретные версии приложений Signal, которые были затронуты и исправлены, пока не подтверждены публично. На Android приложение Signal получило обновление до версии 8.32.2. На iPad текущая версия — 8.32 (1910). Подтвердить полное исправление всех версий на сайте Signal затруднительно. Редакция ожидает уточнения от Signal.