В мессенджере Signal выявлена критическая уязвимость CVE-2026-113380, позволяющая злоумышленникам продолжать прослушивание или видеосъемку собеседника после завершения вызова. Угроза получила оценку 9,3 балла из 10 по шкале CVSS.
Проблема кроется в библиотеке с открытым исходным кодом RingRTC, которая используется для передачи аудио и видео. Уязвимость затрагивает все версии библиотеки до 2.72.0. Атака типа «отказ в обслуживании» переполняет очередь событий, блокируя команду на разрыв соединения.
Уязвимость была устранена в сентябре 2026 года, однако информация о ней стала публичной 20 октября 2026 года. Агентство CISA не зафиксировало случаев применения данной бреши в реальных атаках, но пользователям рекомендуется обновить приложение.
На GitHub уже опубликован демонстрационный скрипт на языке Python объемом 60 строк. Специалисты классифицируют ошибку как CWE-754, возникшую из-за некорректной обработки исключительных ситуаций при управлении очередью событий.
