У месенджері Signal виявили небезпечну помилку, через яку співрозмовник міг продовжувати чути користувача навіть після завершення дзвінка. Вразливість також потенційно дозволяла залишати активною камеру, хоча людина вже вважала розмову завершеною.
У бібліотеці RingRTC, яка відповідає за голосові та відеодзвінки в Signal, виявили критичну вразливість CVE-2026-113380. Проблема зачіпала всі версії бібліотеки до 2.72.0 і могла перешкоджати повному завершенню дзвінка, навіть якщо користувач натискав кнопку відбою.
Інформацію про вразливість оприлюднила організація MITRE, яка підтримує базу даних Common Vulnerabilities and Exposures (CVE). Помилка отримала оцінку 9,3 бала за шкалою CVSS, що відповідає критичному рівню небезпеки.
За описом MITRE, проблему можна було спровокувати шляхом перевантаження черги подій кінцевого автомата виклику, відомого як FSM (Finite State Machine). Цей механізм відповідає за керування станами дзвінка, зокрема його встановленням і завершенням.
«У бібліотеці RingRTC для Signal до версії 2.72.0 учасник дзвінка, який перевантажує чергу FSM, може перешкодити локальному завершенню виклику повністю розірвати з’єднання, включно з аудіопотоком і, можливо, відеопотоком», – йдеться в описі MITRE.
Фактично один зі співрозмовників міг створити умови, за яких натискання кнопки завершення виклику не призводило до належного закриття з’єднання. У такому разі аудіопотік, а потенційно й відеопотік, могли залишатися активними.
Це означає, що користувач міг продовжити особисту розмову або зайнятися іншими справами, не підозрюючи, що його мікрофон усе ще передає звук.
Головна небезпека CVE-2026-113380 полягає в можливості небажаного прослуховування після того, як користувач вважав дзвінок завершеним. У технічному описі також згадується ймовірність збереження активного відеопотоку.
Водночас дослідники не уточнили, як саме така ситуація відображалася б на екрані пристрою. Зокрема, невідомо, чи бачив би користувач індикатор активного мікрофона або камери та як довго могло тривати передавання аудіо чи відео після спроби завершити виклик.
Важливо, що проблема не стосувалася зламу наскрізного шифрування Signal. Повідомлення та дзвінки залишалися захищеними криптографічними механізмами месенджера, а сама вразливість була пов’язана виключно з некоректним завершенням з’єднання.
Також немає даних про те, що через цю помилку можна було викрасти паролі або отримати контроль над обліковим записом. На момент оприлюднення інформації підтверджених випадків використання вразливості в реальних атаках не зафіксували.
Розробники усунули проблему у версії RingRTC 2.72.0. Відповідне оновлення бібліотеки випустили ще у вересні 2026 року, однак публічно інформація про вразливість з’явилася лише у жовтні.
Як свідчать зміни в коді RingRTC на GitHub, виправлення дозволило механізму керування викликами FSM виявляти запити на завершення з’єднання незалежно від черги подій.
Крім того, розробники додали обмеження часу очікування, яке не дозволяє завислим процесам нескінченно блокувати завершення дзвінка. Завдяки цьому виклик має коректно завершуватися навіть тоді, коли обробка інших подій затримується.
RingRTC є бібліотекою з відкритим вихідним кодом, на якій побудована функціональність голосових і відеодзвінків Signal. Її компоненти використовуються як у мобільних, так і в настільних версіях месенджера, тому проблема стосувалася важливої частини його комунікаційної інфраструктури.
Signal залишається одним із найвідоміших месенджерів, орієнтованих на конфіденційність і захищене спілкування. Однак цей випадок показує, що навіть надійне наскрізне шифрування не захищає від помилок у механізмах керування дзвінками.
Користувачам рекомендують встановити всі доступні оновлення Signal на своїх пристроях. Вразливість уже виправлено, а підтверджень її використання зловмисниками немає, проте своєчасне оновлення застосунку залишається найпростішим способом уникнути потенційного ризику прослуховування після завершення розмови.
