Критическая программная ошибка в мессенджере Signal создала условия, при которых сеансы связи могли продолжаться тайно от пользователя. Как сообщает издание Register, технический сбой позволял аудио- и видеопотокам оставаться активными даже после того, как участник разговора пытался прервать соединение.
Проблема кроется в механизме обработки запросов: один из собеседников может намеренно перегрузить систему избыточным количеством команд. В такой ситуации мессенджер не успевает корректно исполнить инструкцию о завершении вызова. В итоге, пока один пользователь уверен, что разговор окончен, передача звука или изображения может продолжаться без его ведома.
Данная брешь в защите получила идентификатор CVE-2026-113380. По международной шкале оценки серьезности уязвимостей CVSS, где максимальный показатель составляет 10 баллов, ошибка получила критический рейтинг в 9,3 балла. Дефект обнаружен в библиотеке RingRTC и затрагивает все версии приложения Signal до 2.72.0 включительно.
Несмотря на то что реализация подобной атаки не представляет большой сложности, на текущий момент эта уязвимость еще не внесена в каталог Агентства по кибербезопасности и защите инфраструктуры (CISA), так как фактов ее использования в реальных кибератаках зафиксировано не было.
Напомним, что Signal позиционирует себя как защищенный сервис для обмена сообщениями, медиафайлами и проведения звонков. Основной упор здесь сделан на сквозное шифрование, исключающее доступ к переписке даже со стороны разработчиков. Открытость исходного кода мессенджера позволяет экспертам по безопасности проводить регулярные проверки системы.
