O vulnerabilitate gravă în Signal îți poate lăsa microfonul și camera pornite după încheierea apelului. Ce trebuie să faci pentru a te proteja

Potrivit publicației The Register, o vulnerabilitate critică din componenta responsabilă pentru apelurile audio și video ar putea împiedica închiderea completă a unei conversații. În anumite condiții, microfonul și, posibil, camera dispozitivului ar putea rămâne active, deși utilizatorul consideră că apelul s-a terminat.

Problema a primit identificatorul CVE-2026-113380 și un scor de severitate de 9,3 din 10, fiind încadrată în categoria vulnerabilităților critice. Din fericire, dezvoltatorii au introdus deja o corecție, însă utilizatorii trebuie să se asigure că folosesc o versiune actualizată a aplicației.

Cum funcționează vulnerabilitatea care poate împiedica închiderea apelurilor Signal

Defecțiunea afectează RingRTC, biblioteca software dezvoltată de Signal pentru gestionarea apelurilor vocale și video. Aceasta utilizează tehnologia WebRTC, folosită pe scară largă pentru comunicațiile în timp real prin internet.

Vulnerabilitatea este prezentă în versiunile RingRTC anterioare 2.72.0 și are legătură cu modul în care aplicația procesează evenimentele asociate unui apel.

Mai exact, sistemul folosește o structură numită Finite State Machine (FSM), care gestionează diferitele etape ale unei conversații, inclusiv inițierea, conectarea și închiderea acesteia.

Un participant rău intenționat ar putea trimite suficiente solicitări pentru a suprasolicita coada de evenimente a sistemului. În aceste condiții, comanda prin care celălalt utilizator încearcă să închidă apelul poate să nu mai fie procesată corespunzător.

Consecința este că legătura audio și, eventual, cea video ar putea continua să funcționeze, chiar dacă persoana afectată crede că a încheiat conversația.

Problema este asociată categoriei CWE-754, care descrie gestionarea necorespunzătoare a unor situații neobișnuite sau excepționale.

Cercetătorii au publicat și o demonstrație conceptuală a vulnerabilității, folosind un script Python pentru a ilustra modul în care suprasolicitarea cozii de evenimente poate bloca procesarea unei comenzi de închidere.

Cât de periculoasă este problema și ce se știe despre eventualele atacuri

Riscul este important deoarece Signal este cunoscută pentru protejarea comunicațiilor prin criptare end-to-end. Totuși, vulnerabilitatea descoperită nu presupune spargerea criptării sau interceptarea directă a mesajelor de către un atacator extern.

Problema apare la nivelul gestionării apelurilor. Dacă un participant reușește să exploateze defecțiunea, acesta ar putea continua să primească informații audio sau video de la celălalt dispozitiv, în condițiile descrise de raportul de securitate.

Scorul CVSS de 9,3 reflectă gravitatea potențială a problemei, iar complexitatea atacului este considerată redusă. Cu toate acestea, nu există deocamdată dovezi publice că vulnerabilitatea ar fi fost exploatată efectiv împotriva utilizatorilor.

De asemenea, demonstrația tehnică disponibilă public nu trebuie confundată cu dovada unui atac real împotriva aplicației.

Descoperirea vine într-o perioadă în care Signal și WhatsApp sunt tot mai des vizate de atacuri informatice, inclusiv campanii îndreptate împotriva oficialilor europeni.

Spre deosebire de tentativele de phishing, în care atacatorii încearcă să convingă victimele să divulge informații, această vulnerabilitate afectează direct funcționarea software-ului.

Cum îți protejezi conversațiile și ce actualizare trebuie să instalezi

Signal a remediat vulnerabilitatea în RingRTC 2.72.0, versiune publicată în septembrie 2026, înainte ca problema să fie făcută publică.

Conform istoricului oficial al modificărilor, actualizarea include o corecție care asigură închiderea completă a apelurilor în situații excepționale.

Modificările tehnice permit procesarea solicitărilor de terminare fără dependența exclusivă de coada obișnuită de evenimente. Dezvoltatorii au introdus și un mecanism de limitare a timpului de așteptare, pentru a preveni blocarea permanentă a procesului de închidere.

Nu este însă pe deplin clar când a ajuns versiunea corectată a bibliotecii în toate variantele Signal pentru Android, iOS și desktop. Istoricul aplicației pentru calculator indică integrarea RingRTC 2.72.0 în septembrie, dar datele exacte pentru toate platformele nu au fost confirmate.

Pentru a reduce riscul, este recomandat să iei câteva măsuri simple:

• Actualizează Signal la cea mai recentă versiune disponibilă în Google Play, App Store sau de pe site-ul oficial.

• Verifică și aplicația Signal Desktop, dacă o folosești pe calculator.

• Urmărește indicatorii de utilizare a microfonului și camerei după închiderea apelurilor.

• Dacă observi un comportament suspect, închide complet aplicația și verifică permisiunile acesteia.

• Instalează periodic actualizările de securitate ale sistemului de operare.

Incidentul demonstrează că nici măcar o aplicație construită în jurul confidențialității nu este complet ferită de erori software.

Deși Signal rămâne una dintre alternativele populare la WhatsApp, protecția conversațiilor depinde nu doar de criptare, ci și de funcționarea corectă a componentelor care gestionează microfonul, camera și conexiunile.

Cea mai importantă măsură este actualizarea aplicației. O versiune recentă poate face diferența dintre un apel care se încheie corect și o conversație care riscă să continue fără știrea ta.