В Signal обнаружили ошибку: собеседник мог слышать вас после завершения звонка

Обычно после нажатия красной кнопки завершения вызова человек спокойно убирает телефон и продолжает заниматься своими делами. Но в случае с Signal этот привычный сценарий мог нарушаться. Причем проблема затрагивала не шифрование, а сам механизм завершения разговора.

20 октября 2026 года были опубликованы сведения об уязвимости CVE-2026-113380. Ей присвоили критическую оценку 9,3 балла из 10 по шкале CVSS 4.0.

Ошибка находилась в библиотеке RingRTC, которую Signal использует для голосовых и видеозвонков. Если собеседник специально перегружал внутреннюю очередь событий, программа могла не обработать команду завершения вызова.

В результате пользователь считал разговор законченным, хотя передача звука потенциально продолжалась. В описании уязвимости также упоминается возможность сохранения видеопотока, но этот сценарий подтвержден менее определенно.

Здесь есть существенное ограничение. Для подобной атаки злоумышленник должен участвовать в самом разговоре. Речь не идет о возможности произвольно включить микрофон любого пользователя Signal или прослушивать чужие звонки без подключения к ним.

Кроме того, ошибка не означала взлом сквозного шифрования. Сообщения, история переписки и ключи шифрования не становились доступными посторонним из-за самого этого дефекта.

Разработчики устранили проблему в RingRTC 2.72.0 еще в сентябре, до публичного раскрытия уязвимости. Исправление изменило обработку завершения вызова: теперь соответствующий запрос может учитываться независимо от перегруженной очереди событий, а дополнительное ограничение времени предотвращает бесконечное ожидание.

В опубликованном 20 октября предупреждении итальянской службы реагирования на компьютерные инциденты указаны и версии самого мессенджера. Для Android исправление включено начиная с Signal 8.27.0, для iOS — с 8.30.0, а для компьютеров — с 8.29.0.

Это полезнее, чем ориентироваться только на номер RingRTC: обычный пользователь обновляет приложение Signal целиком, а не его внутренние библиотеки.

На момент раскрытия сведений о проблеме публичных подтверждений успешного использования уязвимости в реальных атаках не было. Наличие технического описания и демонстрационного кода само по себе не доказывает, что кого-либо действительно прослушивали.

Проверить установленную версию Signal можно в настройках приложения. Если она старее исправленной для соответствующей платформы, необходимо установить обновление. Смена пароля или повторная регистрация аккаунта эту конкретную проблему не решают.

История с Signal напоминает, что защищенный звонок зависит не только от надежного шифрования. Не менее важно, чтобы программа действительно прекращала передавать звук и видео в тот момент, когда пользователь завершает разговор.