Signal-hiba miatt letétel után is folytatódhat a hívás
A mikrofon hangja, és esetleg a kamera képe is továbbjuthat a másik félhez, miközben a Signal használója azt hiszi, már befejezte a beszélgetést. A kritikus sebezhetőséget már javították a hívásokat kezelő RingRTC könyvtárban. Az alkalmazást minden hívásra használt eszközön érdemes mielőbb frissíteni; tényleges visszaélésről egyelőre nincs ismert beszámoló.
A letételi kérés is elakadhat az üzenetáradatban
A kutató által bemutatott támadási elképzelés egy szokványos Signal-hívással kezdődik, amelyet a rosszindulatú fél indít. Ezután felesleges eseményekkel árasztja el a hívás működését vezérlő eseménysort. Amikor az áldozat megnyomja a letétel gombját, a bontási kérés a felhalmozott elemek mögé kerülhet.
A probléma oka, hogy a kapcsolat megszakítása nem külön, azonnal végrehajtandó műveletként működött: ugyanabba a sorba állt be, mint a többi esemény. A másik féltől érkező elemek gyakoriságát sem korlátozták, és a bontás sem kapott elsőbbséget.
Így a támadó akadályozhatja a beszélgetés lezárását. A hang, és esetleg a videó továbbra is eljuthat hozzá, miközben a hívott fél úgy gondolja, már letette.
Androidon, iOS-en és asztali gépen is érintett lehet
A CVE-2026-113380 azonosítójú hiba a RingRTC 2.72.0 előtti változataiban található. Ez a nyílt forráskódú könyvtár kezeli a Signal alkalmazásaiban a hang- és videóhívásokat. A kutatói leírás szerint minden olyan kliens érintett, amely régebbi változatát tartalmazza, Androidon, iOS-en és asztali gépen egyaránt.
A javított könyvtár szeptember 4-én jelent meg. Ebben a bontási kéréseket már az eseménysortól függetlenül is észlelik, ezért azok nem maradnak a felhalmozott elemek mögött.
A 2.72.0 tehát a beépített RingRTC könyvtár verziószáma, nem a Signal alkalmazásé. A források nem adnak meg platformonként olyan alkalmazásverziókat, amelyek már tartalmazzák a javítást.
Kritikus a minősítés, de nincs ismert éles támadás
A sebezhetőség CVSS 4.0 szerinti pontszáma 9,3, ami kritikus műszaki súlyosságot jelent. Ez a mutató nem azt jelzi, hogy visszaélnek-e a hibával. A besorolás hálózaton keresztül végrehajtható, alacsony összetettségű, külön jogosultságot nem igénylő támadást ír le.
A MITRE 2026. október 20-án tette közzé a nyilvántartási bejegyzést. A részletek mellett egy elméleti támadási bemutató is nyilvánossá vált, de ez nem azonos egy megfigyelt visszaéléssel.
A beszámoló szerint eddig nem ismert tényleges kihasználás. A hiba nem szerepel a CISA bizonyítottan kihasznált sebezhetőségeket gyűjtő listáján, az NVD adatbázisában pedig még elemzésre vár.
Minden hívásra használt eszközön frissíts
A források azt javasolják, hogy a Signal használói mielőbb frissítsék az alkalmazást minden olyan eszközükön, amelyen hívásokat bonyolítanak. Ha ezt még nem tudod megtenni, a beszélgetés befejezésekor ellenőrizd a hívásjelzőt, hogy valóban megszakadt-e a kapcsolat.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum