В Signal исправили ошибку, из-за которой звонок мог не завершиться полностью

В библиотеке звонков Signal исправили уязвимость, из-за которой разговор мог продолжаться на техническом уровне после нажатия кнопки завершения. Запись CVE-2026-113380 относится к RingRTC версий ниже 2.72.0; исправление уже опубликовано в официальном репозитории проекта.

Ошибка возникала, если другой участник текущего звонка перегружал очередь событий конечного автомата RingRTC. В такой ситуации локальная команда завершения могла не успеть корректно остановить соединение: аудиопоток, а в некоторых случаях и видеопоток, оставался активным.

Уязвимость не означает взлом сквозного шифрования Signal и не дает постороннему человеку незаметно подключиться к разговору. Для использования ошибки злоумышленник должен был уже быть участником звонка и специально воздействовать на служебную очередь событий в момент, когда собеседник завершал разговор.

В версии RingRTC 2.72.0 разработчики изменили механизм остановки звонка. Код теперь отдельно фиксирует запрос на завершение, ограничивает ожидание остановки внутреннего процесса пятью секундами и продолжает отключение медиасоединений даже при ошибке очереди. Название официального коммита — «Ensure calls terminate completely in corner cases».

Открытые источники не сообщают о подтвержденных случаях эксплуатации уязвимости. Однако сама проблема затрагивает наиболее чувствительную часть приложения — доступ к микрофону после визуального закрытия экрана звонка, поэтому откладывать обновление не стоит.

Обычным пользователям не нужно устанавливать RingRTC отдельно: библиотека входит в состав приложений Signal. Следует обновить Signal через официальный магазин приложений или встроенный механизм обновления до последней доступной версии. Разработчикам продуктов, которые подключают RingRTC как зависимость, нужно перейти как минимум на версию 2.72.0.

Запись NVD не связывает исправление с одним конкретным номером версии мобильного или настольного приложения Signal. Поэтому проверять безопасность только по номеру клиента недостаточно — надежнее установить актуальное обновление для своей платформы.