В Signal нашли уязвимость, которая позволяла подслушивать после завершения звонка

В мессенджере Signal обнаружили критическую уязвимость, которая позволяла скрытно продолжать аудио- и видеозвонки после того, как пользователь пытался их завершить. Передача звука и, возможно, видео могла идти без его ведома, сообщило издание The Register.

Ошибка затрагивает библиотеку RingRTC во всех версиях приложения до 2.72.0. Она получила идентификатор CVE-2026-113380 и оценку 9,3 балла по международной шкале CVSS, где максимальный уровень угрозы составляет 10 баллов.

Механизм атаки сравнительно прост: один из участников разговора мог перегрузить систему большим количеством запросов. Из-за этого мессенджер не обрабатывал команду завершения звонка, хотя второй пользователь считал разговор оконченным.

При этом уязвимость пока не включена в каталог Агентства по кибербезопасности и защите инфраструктуры США (CISA), куда попадают только ошибки, применение которых подтверждено в реальных атаках.

Signal обеспечивает сквозное шифрование переписки и звонков, а его исходный код открыт для независимых проверок безопасности.