В Signal нашли ошибку, позволявшую подслушивать после завершения вызова

В мессенджере Signal обнаружили критическую уязвимость, из-за которой аудио- и видеозвонки могли не завершаться после попытки пользователя прервать разговор. В результате передача звука и, возможно, видео могла продолжаться без его ведома. Об этом сообщило издание Register.

Уязвимость может позволить одному из участников разговора перегрузить систему большим количеством запросов. Из-за этого мессенджер мог не обработать команду завершения звонка, хотя второй пользователь считал разговор оконченным.

Ошибка получила идентификатор CVE-2026-113380 и оценку критичности 9,3 балла по шкале CVSS. Она затронула библиотеку RingRTC во всех версиях приложения до 2.72.0.

CVSS (Common Vulnerability Scoring System) — международная система оценки серьезности ошибок в безопасности программного обеспечения. Оценки выставляют по шкале от 0 до 10 баллов. Чем выше показатель, тем опаснее обнаруженная ошибка.

Согласно описанию уязвимости, использовать ее для атаки сравнительно несложно. При этом она не включена в каталог Агентства по кибербезопасности и защите инфраструктуры (CISA), где перечислены уязвимости, применение которых в реальных атаках подтверждено.

Signal — мессенджер для обмена текстовыми и голосовыми сообщениями, фотографиями и видео, а также аудио- и видеозвонков. Переписка и звонки по умолчанию защищены сквозным шифрованием: их содержание доступно участникам общения, но не разработчикам сервиса. Исходный код Signal открыт, что позволяет независимым специалистам проверять его безопасность.