Signal: o vulnerabilitate în RingRTC poate ține apelul deschis

O vulnerabilitate în RingRTC, biblioteca open source cu care Signal gestionează apelurile vocale și video, poate împiedica închiderea reală a unui apel atunci când utilizatorul închide. Problema este înregistrată ca CVE-2026-113380, cu un scor CVSS 4.0 de 9.3 (critic), și afectează toate versiunile RingRTC anterioare versiunii 2.72.0. În practică, cel de la celălalt capăt al apelului poate primi în continuare sunetul, și poate și imaginea video, în timp ce victima crede că a închis.

Cele patru surse sunt de acord asupra unui punct: nu există știri despre exploatare reală. CVE-ul nu se află în catalogul KEV al CISA și, potrivit Help Net Security, National Vulnerability Database îl indică încă „în așteptarea analizei”. Criptarea end-to-end a Signal nu este afectată: problema ține de modul în care aplicația gestionează starea apelului și închiderea lui.

Ce s-a întâmplat

MITRE a publicat înregistrarea CVE pe 20 octombrie 2026. Corecția apăruse însă deja: potrivit SecurityWeek, RingRTC 2.72.0 a fost lansată pe 4 septembrie, iar The Register confirmă că versiunea corectată a bibliotecii a sosit în cursul lunii septembrie. Problema a fost documentată pe GitHub de un cercetător care semnează Imahian, cu o descriere tehnică și un proof of concept declarat conceptual.

The Register arată că din notele de lansare ale Signal nu reiese exact când a ajuns biblioteca corectată în aplicațiile pentru Android, iOS și desktop: istoricul Signal Desktop indică septembrie, însă datele pentru celelalte platforme nu sunt clare.

Detalii tehnice

RingRTC este construită pe WebRTC și gestionează fiecare apel cu o mașină cu stări finite (FSM) alimentată de o coadă de evenimente. Potrivit descrierii cercetătorului, citată de mai multe publicații, închiderea locală nu era o comandă de oprire imediată, ci încă un eveniment, pus la sfârșitul aceleiași cozi. Trei elemente făceau atacul posibil:

• și participantul de la distanță poate adăuga evenimente în acea coadă;
• nu exista o limită pentru evenimentele venite din partea cealaltă;
• închiderea nu avea prioritate față de celelalte evenimente.

Atacatorul inițiază un apel Signal obișnuit, apoi inundă coada cu evenimente inutile. Când victima apasă butonul de închidere, cererea rămâne blocată în spatele acestui trafic, iar apelul, cu pista audio și eventual cu cea video, nu este închis niciodată. The Register îl descrie ca pe un denial of service asupra cozii de evenimente și menționează clasificarea CWE-754 (verificare inadecvată a condițiilor neobișnuite sau excepționale).

Potrivit Help Net Security, vectorul CVSS descrie un atac prin rețea, de complexitate redusă și fără privilegii, cu impact ridicat asupra confidențialității și integrității și fără impact asupra disponibilității. Condiția practică este însă ca atacatorul să fie celălalt participant la apel.

Proof of concept-ul în Python, explică Security Affairs, este sintetic și nu folosește rețeaua: compară o coadă în care închiderea poate rămâne îngropată cu una în care evenimentele critice au prioritate. Ilustrează logica, nu este un exploit funcțional.

Potrivit The Register, comparația dintre versiuni arată că în 2.72.0 FSM-ul recunoaște cererea de închidere independent de coadă, iar un timeout împiedică o procesare blocată să rețină închiderea la nesfârșit. În termeni MITRE ATT&CK, efectul corespunde tehnicilor T1123 (Audio Capture) și T1125 (Video Capture).

Versiunile aplicațiilor

Vulnerabilitatea afectează orice client Signal care încorporează o versiune RingRTC anterioară versiunii 2.72.0, pe Android, iOS și desktop. Doar Security Affairs, citând un aviz al CSIRT Toscana, indică versiunile afectate ale aplicațiilor: Signal pentru Android înainte de 8.27.0, Signal pentru iOS înainte de 8.30.0 și Signal Desktop înainte de 8.29.0. Celelalte surse nu confirmă aceste date: în orice caz, instalează cea mai recentă versiune disponibilă.

Impactul pentru companiile europene și italiene

Signal este folosit adesea tocmai pentru conversațiile cele mai delicate: conducerea companiei, departamentele juridice, echipele de securitate, contactele cu partenerii și furnizorii. Un apel care rămâne deschis fără ca cel care a închis să știe poate expune discuții confidențiale sau date personale captate după sfârșitul aparent al conversației. Dacă un astfel de episod ar fi confirmat, ar trebui evaluat ca posibilă încălcare a securității datelor personale conform GDPR.

Pentru entitățile NIS2, cazul ține de gestionarea vulnerabilităților instrumentelor de comunicare, inclusiv a celor instalate pe smartphone-uri personale folosite pentru muncă (BYOD), care adesea scapă din inventar. În sănătate, unde medicii și personalul schimbă informații despre pacienți, este nevoie de aceeași atenție.

Ce să faci imediat

1. Actualizează Signal pe toate dispozitivele folosite pentru apeluri: smartphone-uri, tablete și computere. Versiunea aplicației se verifică în setări, la secțiunea de ajutor.
2. Impune o versiune minimă pe dispozitivele gestionate, cu regulile de conformitate pentru aplicații ale soluției tale MDM, și cere celor care folosesc dispozitive personale să actualizeze.
3. Verifică versiunile Signal Desktop pe computerele companiei cu inventarul de software.
4. Până când actualizezi, după fiecare apel verifică dacă indicatorul de apel a dispărut, cum sugerează SecurityWeek, și dacă s-au stins și indicatorii de microfon și cameră ai sistemului de operare; dacă rămân aprinși, închide aplicația.
5. Prudență cu apelurile de la contacte necunoscute, mai ales pentru cei care lucrează cu informații sensibile: atacul presupune ca atacatorul să fie în apel.

Sursele nu raportează indicatori de compromitere. Deoarece traficul apelurilor este criptat, controlul cel mai eficient rămâne verificarea versiunilor instalate.

Cum ajută ARXDOME

Pe computerele Windows, Linux și macOS cu agentul ARXDOME, inventarul ARX Sentry enumeră software-ul instalat împreună cu versiunea lui, astfel încât găsești instalările Signal Desktop care trebuie actualizate. ARX Shield arată vulnerabilitățile deschise pentru fiecare mașină, util pentru a urmări progresul actualizărilor. Pentru smartphone-uri rămâne necesară soluția MDM a companiei.

Ultima actualizare: 22 octombrie 2026