Breșă Signal cu scor 9,3: microfonul poate rămâne pornit după apel

O breșă Signal notată cu 9,3 din 10, aflată în biblioteca de apeluri a aplicației, permitea ca microfonul, și uneori camera, să rămână active după ce utilizatorul închidea convorbirea. Problema a primit identificatorul CVE-2026-113380, publicat pe 20 octombrie 2026, și afectează RingRTC, componenta pe care Signal o folosește pentru apelurile vocale și video pe telefon și pe calculator. Corectura există deja în versiunea 2.72.0 a bibliotecii, iar codul sursă actual al aplicațiilor Signal folosește versiuni mai noi. Concluzia practică: actualizați aplicația pe toate dispozitivele.

Ce problemă are Signal și cât de gravă este?

Defectul nu ține de criptarea mesajelor, care rămâne intactă, ci de felul în care aplicația închide un apel. RingRTC gestionează fiecare convorbire printr-o așa-numită mașină de stări: o coadă de evenimente procesate pe rând, de la „sună” la „conectat” și „închis”. Potrivit descrierii oficiale din registrul CVE, un participant la apel putea umple această coadă cu evenimente, astfel încât comanda de închidere dată de celălalt utilizator nu mai ajungea să fie procesată. Ecranul arăta apelul încheiat, dar sunetul, și posibil imaginea, continuau să fie transmise.

Scorul de 9,3 este calculat după standardul CVSS 4.0 și încadrează problema la nivel critic. Clasificarea tehnică este CWE-754, adică o verificare insuficientă a situațiilor neobișnuite. Evaluarea adăugată de agenția americană CISA notează însă trei lucruri care temperează riscul: nu se cunoaște exploatare activă, atacul nu poate fi automatizat la scară, iar impactul, dacă reușește, este total pentru confidențialitatea convorbirii.

Cum ar putea fi folosită breșa de un atacator?

Condiția esențială este ca atacatorul să fie el însuși în apel. Nu e vorba de cineva care ascultă din exterior convorbirile oricui, ci de interlocutorul cu care vorbiți, care ar folosi o versiune modificată a clientului Signal. După ce dumneavoastră închideți, el ar putea continua să audă ce se întâmplă în încăpere, eventual să și vadă, dacă ați avut camera pornită. Scenariul contează mai ales la convorbirile cu persoane pe care nu le cunoașteți bine.

Cercetătorul care a documentat problema a publicat pe GitHub o descriere tehnică și un exemplu conceptual de atac, scris în Python. Existența lui e un motiv în plus să nu amânați actualizarea.

Breșă Signal: ce versiuni sunt afectate și unde e corectura?

Sunt vulnerabile toate versiunile RingRTC anterioare lui 2.72.0. Corectura, publicată de Signal în depozitul oficial al bibliotecii sub titlul „Asigură închiderea completă a apelurilor în cazuri-limită”, schimbă modul de procesare: cererea de închidere este verificată separat de coada de evenimente, deci nu mai poate fi blocată de un val de mesaje, iar aplicația are acum un termen-limită de cinci secunde pentru oprirea completă a apelului.

Am verificat codul sursă public al aplicațiilor Signal: varianta pentru calculator folosește RingRTC 2.72.1, iar cea pentru Android folosește 2.73.0, ambele ulterioare corecturii. Potrivit publicației The Register, Signal Desktop a primit biblioteca reparată încă din septembrie. Signal nu a publicat un buletin de securitate dedicat și nu a precizat public numărul exact al versiunii de aplicație care include fixul pe fiecare platformă.

Ce trebuie să faci dacă folosești Signal în România?

Primul pas este actualizarea din sursa oficială. Pe Android, deschideți Google Play, căutați Signal și apăsați „Actualizați” dacă butonul apare. Pe iPhone, intrați în App Store, apăsați pe imaginea contului și verificați lista de actualizări disponibile. Pe calculator, Signal Desktop se actualizează singur la repornire, așa că e suficient să închideți complet aplicația și să o deschideți din nou. Dacă vreți ca lucrurile acestea să se întâmple fără intervenția dumneavoastră, am explicat separat cum pui actualizarea aplicațiilor pe automat, pe Android și iPhone.

Al doilea pas ține de obiceiuri. Până sunteți siguri că toate dispozitivele rulează versiunea nouă, evitați apelurile video cu persoane necunoscute. Dispozitivele asociate contului contează la fel de mult ca telefonul: un laptop de serviciu cu o versiune veche de Signal Desktop rămâne vulnerabil chiar dacă telefonul e la zi.

Cum verifici dacă microfonul sau camera mai sunt active?

Sistemele de operare moderne au indicatori care nu depind de aplicație. Pe Android 12 și versiunile mai noi, un punct verde în colțul din dreapta sus arată că microfonul sau camera sunt folosite; trăgând bara de notificări în jos, vedeți și ce aplicație le accesează. Pe iPhone, cu iOS 14 sau mai nou, punctul portocaliu indică microfonul, iar cel verde camera, iar Centrul de control afișează numele aplicației.

Dacă indicatorul rămâne aprins după ce ați închis un apel Signal, opriți complet aplicația și actualizați-o.

De ce contează breșa pentru o aplicație construită pe confidențialitate?

Signal e ales tocmai de cei care au nevoie de discreție: jurnaliști, avocați, echipe din companii. Aplicația a adoptat deja protecții gândite pentru criptografia post-cuantică pe care UE o cere până în 2030. Cazul arată însă că punctul slab nu e mereu algoritmul, ci logica din jurul lui.

Nu e prima problemă de acest fel. În ianuarie 2019, Apple a dezactivat temporar apelurile FaceTime de grup după ce s-a descoperit că un apelant putea auzi microfonul destinatarului înainte ca acesta să răspundă. În același an, Google Project Zero a găsit în Signal pentru Android un defect prin care un apel putea fi conectat fără ca destinatarul să apese pe „Răspunde”, reparat rapid.

Pentru administratorii de sisteme, săptămâna aceasta aduce și alte alerte de prioritate maximă, de la cele două breșe critice din PHP care afectează site-urile WordPress la noile protecții din Chrome împotriva escrocheriilor ClickFix. În cazul Signal, reparația există deja.