Ein kürzlich aufgedeckter Fehler in der Anrufsoftware von Signal könnte es einem anderen Teilnehmer ermöglichen, Sie auch nach dem Auflegen weiter zu hören.
Die unter CVE-2026-113380 ( CVSS-Wert 9,3 von 10) geführte Sicherheitslücke betrifft RingRTC-Versionen vor 2.72.0. RingRTC ist die Open-Source-Bibliothek hinter der Sprach- und Videoanruffunktion von Signal und stellt Anrufkomponenten für die mobilen und Desktop-Anwendungen bereit.
Die Schwachstelle betrifft die Art und Weise, wie die Anrufbibliothek von Signal einen Anruf beendet. Die Verschlüsselung der Gespräche ist davon nicht betroffen. Laut der veröffentlichten Beschreibung der Schwachstelle könnte ein anderer Teilnehmer die interne Ereigniswarteschlange eines Anrufs überlasten und so die Schritte stören, die die Verbindung beim Beenden des Anrufs trennen sollten.
Die größte Sorge besteht darin, dass ungebetene Mithörer nach dem vermeintlichen Ende eines Gesprächs weiterhin Audioaufnahmen hören können. Wenn ein böswilliger Gesprächsteilnehmer diese Sicherheitslücke ausnutzt, könnte er möglicherweise weiterhin Audioaufnahmen mithören, die die andere Person nicht mehr teilen wollte. Dies könnten beispielsweise beiläufige Bemerkungen, Gespräche mit Personen in der Nähe oder andere private Hintergrundgeräusche sein.
Die Beschreibung der Sicherheitslücke erwähnt zwar, dass die Videoübertragung möglicherweise aktiv bleibt, bestätigt dieses Verhalten jedoch nicht und erklärt auch nicht, was betroffene Nutzer auf dem Bildschirm sehen würden. Zudem wird nicht angegeben, wie lange eine fortgesetzte Übertragung andauern könnte.
Es liegen keine Berichte über Ausnutzungen in freier Wildbahn vor. Die Schwachstelle betrifft ausschließlich die Beendigung eines Anrufs. Sie beinhaltet weder gestohlene Passwörter noch kompromittierte Konten oder offengelegte Nachrichtenverläufe, die ein Zurücksetzen des Passworts erforderlich machen würden.
Was tun?
Die Entwickler haben den Code aktualisiert, um das Herunterfahren robuster zu gestalten, wenn die interne Warteschlange eines Anrufs voll ist oder ein anderer Beendigungsschritt fehlschlägt.
Installieren Sie alle verfügbaren Signal-Updates auf Ihren Geräten. Die Korrektur ist in der zugrundeliegenden RingRTC-Bibliothek enthalten, die betroffenen und zuerst korrigierten Signal-App-Versionen wurden jedoch in den überprüften Quellen noch nicht öffentlich bestätigt.
Ich persönlich habe im Google Play Store ein Update gefunden, das mir Folgendes gebracht hat: Android Ich habe die App auf Version 8.32.2 aktualisiert. Im Apple App Store konnte ich keine Version finden, was aber daran liegen könnte, dass ich automatische Updates aktiviert habe. Auf meinem iPad ist aktuell Version 8.32 (1910) installiert. Ich gehe davon aus, dass damit alle Sicherheitslücken behoben sind, kann dies aber auf der Signal-Website nicht bestätigen.
Ich habe Signal um Klärung gebeten und werde diesen Artikel aktualisieren, sobald ich eine Antwort erhalte.
Betrüger wissen mehr über dich, als du denkst.
Malwarebytes Mobile Security Schützt Sie vor Phishing , betrügerischen SMS, schädlichen Websites und mehr. Mit integriertem, KI-gestütztem Betrugsschutz in Echtzeit.
