באג RingRTC של Signal עלול להשאיר אודיו ווידאו פעילים לאחר ניתוק

פרטי הפגיעות

פגם בספריית RingRTC שבה משתמש Signal יכול למנוע סיום מלא של שיחה. הבעיה קיימת בכל גרסה שלפני 2.72.0 והוקצתה CVE-2026-113380 עם ציון CVSS של 9.3 על ידי MITRE.

הבעיה מתרחשת כאשר הצד השני מציף את תור מכונת המצבים של השיחה, דבר שמפריע לתהליך הניתוק המקומי ועלול להשאיר את ערוץ האודיו, ואולי גם את הווידאו, פעילים.

השפעה על משתמשים

לאחר שמשתמש מסיים שיחה, המיקרופון או המצלמה עשויים להישאר פעילים. בהודעת הפגיעות לא נאמר מה האפליקציה מציגה על המסך במצב כזה, ומשך השידור האפשרי אינו מוגדר. אין ראיות לכך שהפגיעות נוצלה בפועל.

לפי Cybernews, באמצעות באג זה לא ניתן לגנוב סיסמאות או פרטי חשבון; הסיכון מוגבל להאזנה או צפייה בלתי רצויה לאחר שהשיחה נראית כמסתיימת.

הפחתה ועדכונים

Signal שחררה בחודש שעבר עדכון ל-RingRTC שמוסיף פסק זמן ומאפשר למכונת המצבים של השיחה לזהות בקשות ניתוק באופן עצמאי מתור האירועים. מהערות השחרור לא ברור מתי בדיוק הגיעה הגרסה המתוקנת לגרסאות Android, iOS ולשולחן העבודה.

על המשתמשים להתקין את הגרסה העדכנית הזמינה של Signal בכל מכשיר. שמירה על האפליקציה מעודכנת נותרת ההגנה העיקרית מפני בעיה זו.

מקורות: Cybernews · The Register