Баг в библиотеке, используемой популярным мессенджером Signal, потенциально позволяет слушать собеседника после завершения звонка незаметно для последнего. «Зависающий» вызов Signal

В защищенном мессенджере Signal обнаружена ошибка, в результате которой сеансы аудио- и видеосвязи могут завершаться некорректно, потенциально сохраняя доступ одного из его участников к микрофону и/или камере другого, пишет The Register.

На практике ошибка позволяет злоумышленнику прослушивать своего собеседника или получать сигнал с камеры устройства даже после того, как тот уже нажал на кнопку завершения вызова. Signal сохраняет доступ к микрофону и видео, а установленный ранее канал связи не закрывается.

Соответствующей уязвимости присвоен идентификатор CVE-2026-113380. Степень ее угрозы оценена в 9,3 балла из 10 по шкале CVSS (критическая). Ошибка, приводящая к возникновению бреши, присутствует в библиотеке RingRTC с открытым исходным кодом, во всех версиях до 2.72.0. Сложность организации атаки с использованием CVE-2026-113380 – низкая.

CVE-2026-113380 была закрыта еще в сентябре 2026 г., однако сведения о ней были обнародованы лишь 20 октября 2026 г.

Каталог уязвимостей Агентства по защите инфраструктуры и кибербезопасности США (CISA) не содержит информации о том, что CVE-2026-113380 уже применялась в реальных атаках. Тем не менее, как отмечает The Register, пользователям Signal следует обновить приложение до последней версии.

Баг в RingRTC

Библиотека RingRTC, являющаяся неотъемлемой частью Signal, построена на базе широко распространенной технологии WebRTC, которая применяется для передачи голоса и видео в реальном времени через интернет. Она отвечает за установление соединения между участниками созвона, передачу аудио и видео, обработку сигналов управления соединением и завершение вызова.

Уязвимость, по сути, позволяет одной из сторон разговора посредством Signal организовать атаку типа «отказ в обслуживании» (DoS) на программный механизм обработки очереди событий, в которую попадает и команда на разрыв соединения при нажатии пользователям кнопки завершения вызова. Забив до отказа очередь за счет непрерывной отправки все новых и новых событий с определенной частотой, можно добиться того, что запрос на разрыв соединения «застрянет» в этой очереди и так и не будет обработан одной из сторон, а значит и вызов не будет подобающим образом завершен.

Как отмечает The Register, CVE-2026-113380 относится к уязвимостям, возникающим в результате ненадлежащей обработки исключительных ситуаций (CWE-754), поскольку разработчики RingRTC не предусмотрели сценарий, в котором очередь событий оказывается переполненной, что является нерядовым событием.

Демонстрационный PoC-скрипт на 60 строк, написанный на Python, доступен на GitHub.

«Самый безопасный» мессенджер

Signal на протяжении многих лет был выбором тех, кто не желает, чтобы доступ к его переписке получили хакеры или представители правоохранительных органов. Проект существует с 2014 г., и в его основе лежит одноименный протокол сквозного шифрования, созданный специалистами Open Whisper Systems.

Тем не менее, в декабре 2020 г. скандально известная израильская компания Cellebrite, разработчик шпионского ПО, заявила, что сумела взломать мессенджер Signal. Обойти защиту Signal специалисты Cellebrite смогли при помощи собственного программного инструмента Physical Analyzer, предназначенного для систематизации и обработки информации, полученной со смартфона.

Не считают Signal достаточно надежным и суверенным власти некоторых европейских стран. Так, в мае 2026 г. CNews писал о том, что в Польше чиновников начали переводить с Signal и Threema на недавно запущенный защищенный мессенджер mSzyfr, который был создан под эгидой Министерства цифровизации.

В России Signal начали блокировать в августе 2024 г. Официальная причина – «нарушение российского законодательства».

• «Осенний документооборот-2026»: практикум для тех, кто управляет документами и процессами