В библиотеке звонков Signal обнаружили уязвимость CVE-2026-113380, из-за которой разговор мог продолжаться после нажатия кнопки завершения. Для этого злоумышленник должен был уже участвовать в звонке и мешать приложению обработать команду отбоя. В таком состоянии аудиопоток, а в некоторых случаях потенциально и видео, оставались активными дольше, чем ожидал пользователь. Проблему устранили в RingRTC 2.72.0 еще 4 сентября, а подробности опубликовали 20 октября.
Уязвимость получила оценку 9,3 по CVSS 4.0, однако этот балл описывает возможную опасность сценария, а не число пострадавших пользователей. Описанная атака не дает случайному человеку возможность незаметно включать чужой микрофон из списка контактов. Сначала участники должны установить обычное соединение, и только после этого удаленный собеседник способен влиять на механизм завершения вызова. Подтверждений массовой эксплуатации в реальных звонках пока нет.
Почему команда завершения могла ждать бесконечно
За звонки Signal отвечает библиотека RingRTC, построенная на WebRTC. Внутри нее состояние соединения меняется через очередь событий: входящие сообщения, изменение параметров связи и завершение разговора обрабатываются в определенном порядке. В уязвимых версиях команда местного пользователя на разрыв звонка попадала в эту же очередь. Если другой участник постоянно заполнял ее управляющими событиями, обработка отбоя откладывалась, а вместе с ней и закрытие медиа-каналов.
Проблема была не в шифровании Signal. Даже хорошо зашифрованный разговор остается открытым для того, с кем пользователь уже разговаривает, пока устройство продолжает отправлять звук. Критичной стала зависимость процедуры отключения микрофона от очереди событий, на которую способен воздействовать собеседник. В исправлении обработку завершения вынесли из этого узкого места, чтобы закрытие соединения не зависело от объема поступающих сообщений.
Что видел пользователь и что мог получить собеседник
Главный риск связан с ложным ощущением завершенного разговора: пользователь нажимает отбой и переключается на другие дела, не ожидая, что передача звука еще может продолжаться. Данные опубликованной демонстрации показывают возможность удерживать аудиопоток, а для видеосвязи исследователи допускают аналогичный эффект. При этом нет оснований утверждать, что во всех версиях приложения камера обязательно оставалась включенной или что ошибка позволяла читать переписку.
Системный индикатор использования микрофона или камеры помогает заметить необычную активность, но его внешний вид зависит от операционной системы. В разборе SecurityWeek отмечается, что запрос на завершение не имел отдельного приоритета перед удаленными событиями. Для пользователя самый надежный путь закрыть проблему — установить актуальную версию Signal, а не рассчитывать только на изменение привычек при звонках.
Почему исправление появилось раньше раскрытия
Патч для RingRTC 2.72.0 датирован 4 сентября 2026 года. Публичное описание CVE и технический анализ стали доступны 20 октября, когда уязвимость уже была закрыта на уровне библиотеки. Такая разница дат обычна для согласованного раскрытия: время на распространение исправлений снижает риск для пользователей после выхода технических подробностей. Однако номер библиотеки не равен номеру приложения Signal на Android, iOS или настольном компьютере.
Проверять лучше именно обновление установленного приложения через официальный магазин или сайт разработчика. Если звонок завершен, но системный индикатор микрофона продолжает гореть, это повод убедиться, что активное соединение действительно разорвано. Сам по себе индикатор может относиться и к другому приложению, поэтому его наличие не доказывает эксплуатацию CVE-2026-113380. Операторам продуктов, использующих RingRTC отдельно от Signal, необходимо сверить собственную зависимость с исправленной веткой.
Вопросы и ответы (FAQ)
Могли ли прослушивать Signal без звонка?
Описанный сценарий требует, чтобы атакующий уже участвовал в установленном звонке. Произвольное включение чужого микрофона не подтверждено.
Какая версия закрыла ошибку?
RingRTC 2.72.0, опубликованная 4 сентября 2026 года. Приложения Signal следует обновлять до актуальных сборок.
Могла ли оставаться включенной камера?
Исследователи считают продолжение передачи видео возможным, но не утверждают, что это обязательно происходило на любом устройстве.
Какую оценку получила уязвимость?
CVE-2026-113380 получила 9,3 балла по CVSS 4.0.
Были ли подтвержденные массовые атаки?
Публичных данных о массовой эксплуатации этой проблемы нет.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
