O Signal corrigiu uma vulnerabilidade de gravidade crítica que poderia permitir a um chamador malicioso manter os fluxos de áudio e vídeo ativos mesmo depois de o usuário desligar.
A falha de segurança é identificada como CVE-2026-113380 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns, sistema de identificação de falhas de segurança), com pontuação CVSS de 9,3 (sigla de Common Vulnerability Scoring System, sistema de pontuação de gravidade de vulnerabilidades). Ela afeta o RingRTC, biblioteca de código aberto usada pelo Signal em chamadas de voz e vídeo, baseada no WebRTC (sigla de Web Real-Time Communication, padrão aberto para comunicação em tempo real no navegador).
Por causa do problema, um participante remoto poderia inundar a fila de eventos da máquina de estados finitos (FSM, sigla de finite state machine) da chamada com dados inúteis, e a ligação não seria encerrada.
Isso acontecia porque o pedido de desligamento não era tratado como um interruptor de emergência, mas como mais um evento adicionado à fila da FSM. Além disso, não havia limite de frequência para eventos originados pelo outro participante e o evento de desligamento não tinha prioridade.
“Inundar a fila com lixo faz com que o desligamento fique esperando atrás do ruído do atacante para sempre, e a chamada (microfone e, possivelmente, câmera) nunca é encerrada”, afirma um pesquisador em um relatório técnico publicado no GitHub.
Ao explorar a vulnerabilidade, um atacante poderia manter os fluxos de áudio e vídeo vindos do dispositivo alvo enquanto a vítima acredita ter encerrado a chamada.
A falha foi corrigida na versão 2.72.0 do RingRTC, lançada em 4 de setembro.
Os detalhes da falha, no entanto, foram divulgados na terça-feira, junto com uma prova de conceito (PoC, sigla de proof of concept) de natureza conceitual. No mesmo dia, o NIST (Instituto Nacional de Padrões e Tecnologia dos EUA) incluiu a CVE na base de dados NVD (National Vulnerability Database, Base Nacional de Vulnerabilidades).
O Signal resolveu o problema garantindo que as solicitações de encerramento de chamada não fiquem bloqueadas na fila de eventos da FSM e sejam detectadas de forma independente.
Os usuários devem atualizar os aplicativos do Signal o quanto antes. Caso contrário, devem verificar o indicador de chamada para confirmar que a ligação realmente foi encerrada.
