У бібліотеці RingRTC, на якій працюють голосові та відеодзвінки Signal, виявили критичну вразливість: співрозмовник міг завадити коректному завершенню виклику, і після того, як користувач поклав слухавку, аудіо — а можливо, і відео — продовжувало передаватися. Помилку виправлено у версії RingRTC 2.72.0, тож користувачам варто оновити Signal на всіх пристроях.
Що відомо про вразливість
Вразливість отримала ідентифікатор CVE-2026-113380. Запис про неї MITRE оприлюднила 20 жовтня 2026 року. За стандартом CVSS 4.0 проблему оцінено в 9,3 бала з 10, що відповідає критичному рівню небезпеки. Вразливі всі версії RingRTC до 2.72.0.
RingRTC — власна бібліотека Signal з відкритим кодом, побудована на основі WebRTC. Цю технологію браузери та месенджери використовують для передавання голосу й відео в реальному часі. Саме RingRTC відповідає за дзвінки в застосунках Signal для Android, iOS і компʼютерів.
Як працює атака
Керування дзвінком у RingRTC побудоване на скінченному автоматі (finite state machine, FSM) — компоненті, який відстежує стан виклику й обробляє повʼязані з ним події по черзі. Згідно з технічним описом вразливості, команда на завершення дзвінка не мала жодного пріоритету: вона просто ставала в кінець спільної черги подій, а кількість подій від співрозмовника нічим не обмежувалася. Якщо інший учасник розмови засипав чергу «сміттєвими» запитами, команда завершення могла так і не бути оброблена.
У результаті на екрані користувача дзвінок виглядав завершеним, тоді як аудіоканал — а за певних умов і відеоканал — лишався активним. Співрозмовник міг і далі чути, що відбувається поруч із пристроєм. Вразливість класифікують як CWE-754 — неналежну перевірку незвичних або виняткових умов.
Опис вразливості на GitHub містить концептуальну демонстрацію (proof of concept) — скрипт на Python, що імітує, як переповнення черги подій блокує обробку команди завершення.
Хто може скористатися помилкою
Ключове обмеження: атаку може здійснити лише учасник дзвінка. Стороння особа не здатна в такий спосіб увімкнути мікрофон довільного користувача Signal — жертва має сама прийняти виклик або зателефонувати зловмисникові. Водночас, згідно з оцінкою CVSS, складність атаки низька, а особливі привілеї для неї не потрібні.
Ознак використання вразливості в реальних атаках поки немає: за даними Help Net Security, її не внесено до каталогу активно експлуатованих вразливостей CISA (KEV), а Національна база вразливостей США ще не завершила аналіз.
Для України цей ризик не абстрактний. Signal широко використовують військові, посадовці та журналісти, а у 2025 році Google Threat Intelligence Group повідомляла, що кілька повʼязаних із росією угруповань цілеспрямовано намагаються отримати доступ до облікових записів Signal українських військових і держслужбовців.
Як Signal виправила проблему
Виправлення увійшло до RingRTC 2.72.0. Як випливає з порівняння коду з попередньою версією, тепер скінченний автомат розпізнає команду на завершення дзвінка незалежно від черги подій, а додатковий тайм-аут не дає завислій обробці безкінечно блокувати завершення виклику.
За даними The Register, оновлену бібліотеку випустили ще минулого місяця, проте про саму вразливість публічно стало відомо лише зараз. Коли саме виправлення потрапило до версій Signal для Android, iOS і компʼютерів, з нотаток до релізів незрозуміло. Історія випусків Signal Desktop свідчить, що RingRTC 2.72.0 інтегрували у вересні. На запит журналістів у Signal не відповіли.
Що робити користувачам
- Оновити Signal на всіх пристроях — смартфоні, планшеті й компʼютері. Версія RingRTC в інтерфейсі застосунку не відображається, тому найнадійніший спосіб захиститися — встановити найновішу версію Signal із Google Play, App Store або офіційного сайту signal.org.
- Увімкнути автоматичне оновлення застосунків, щоб наступні виправлення безпеки надходили без затримок.
- Після завершення дзвінка звертати увагу на системний індикатор мікрофона й камери: на iPhone це помаранчева (мікрофон) або зелена (камера) крапка у верхній частині екрана, на Android 12 і новіших — зелений значок у рядку стану. Якщо індикатор не зник, Signal варто примусово закрити.
- З обережністю ставитися до дзвінків від невідомих контактів і несподіваних викликів від знайомих, якщо є підозра, що їхній обліковий запис могли зламати.
