A Signal hibája miatt letétel után is továbbmehet a hívás hangja
A beszélgetőpartner akkor is hallhatja a hangodat, amikor te már letetted a Signal-hívást; a hiba esetenként a videó továbbítását is fenntarthatja. A sebezhetőség az alkalmazás hívásokat kezelő összetevőjét érinti Androidon, iOS-en és asztali gépen. A javítás ebben az összetevőben már elkészült, tényleges támadásokról egyelőre nincs ismert beszámoló.
A bontás parancsa beragadhat a sor végén
A problémát a GitHub oldalán Imahian néven publikáló kutató dokumentálta. Leírása szerint a hívás befejezése ugyanolyan feldolgozásra váró eseményként kerül egy sorba, mint a beszélgetés közben érkező többi jelzés. Ehhez a sorhoz a másik fél is hozzáadhat eseményeket.
A kutató szerint a távoli partnertől érkező jelzések mennyiségét nem korlátozták, a bontás pedig nem kapott elsőbbséget. Ha a másik fél elárasztja a sort, a letételre adott utasítás a felhalmozott események mögé szorulhat. Emiatt a hang, és esetleg a kép továbbra is eljuthat hozzá, miközben a felhasználó befejezettnek gondolja a beszélgetést.
Nem csak a telefonos Signal lehet érintett
A CVE-2026-113380 azonosítójú sérülékenység a RingRTC 2.72.0 előtti változataiban található. Ez a nyílt forráskódú programkönyvtár kezeli a Signal alkalmazásainak hang- és videóhívásait. A böngészők élő hang- és képátviteléhez is használt WebRTC technológiára épül.
A kutatói leírás minden olyan Android-, iOS- és asztali Signal-klienst érintettnek nevez, amely a könyvtár régebbi kiadását tartalmazza. A javított változatot az egyes alkalmazásoknak is át kell venniük. A felsorolt verziószám tehát a hívásmotoré, nem magáé a Signal alkalmazásé; a forrás nem ad meg platformonként javított alkalmazásverziókat.
Kritikus besorolás, de nincs ismert éles kihasználás
A MITRE 2026. október 20-án tette közzé a hibabejegyzést, 9,3-as CVSS 4.0 értékkel. Ez a műszaki súlyosságot jelző, kritikus besorolás; önmagában nem bizonyítja, hogy támadók már visszaélnek a réssel. Az értékelés hálózaton végrehajtható, alacsony összetettségű, külön jogosultságot nem igénylő támadást ír le.
A kutató koncepcionális támadási példája egy szokványos Signal-hívással indul, majd a kezdeményező felesleges eseményekkel terheli a feldolgozási sort. Ezen túl kevés támadási részlet ismert. A CISA kihasznált sérülékenységeket felsoroló listáján nem szerepel a hiba, a National Vulnerability Database pedig még elemzésre váróként tartja nyilván.
Minden hívásra használt eszközön tartsd naprakészen az appot
A forrás azt tanácsolja a Signal használóinak, hogy minden olyan eszközükön tartsák naprakészen az alkalmazást, amelyen hívást folytatnak. Ez a telefonos és az asztali példányokra egyaránt vonatkozik.
A könyvtárban a hibát már kijavították. A sérülékenység bejegyzése a RingRTC GitHub-tárhelyén található, javítást tartalmazó kódmódosításra is hivatkozik.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum