Une faille récemment découverte dans le logiciel d'appel de Signal pourrait permettre à un autre participant de continuer à vous entendre après que vous ayez raccroché.
La vulnérabilité, référencée CVE-2026-113380 ( score CVSS de 9,3 sur 10), affecte les versions de RingRTC antérieures à la version 2.72.0. RingRTC est la bibliothèque open-source qui sous-tend les fonctionnalités d'appel vocal et vidéo de Signal, fournissant les composants d'appel pour ses applications mobiles et de bureau.
Cette faille concerne la manière dont la bibliothèque d'appels de Signal met fin à un appel. Elle n'affecte pas le chiffrement des conversations. D'après la description de la vulnérabilité publiée , un autre participant pourrait saturer la file d'attente d'événements interne d'un appel et perturber le processus de déconnexion lors de sa fin.
Le principal problème réside dans l'écoute non désirée d'une conversation qui semble terminée. Si un participant malveillant parvient à exploiter cette faille, il pourrait continuer à entendre des sons que l'autre personne ne souhaitait plus partager. Il peut s'agir d'une remarque anodine, d'une conversation avec une personne à proximité ou d'autres bruits de fond privés.
La description de la vulnérabilité mentionne également que la vidéo pourrait rester active, sans toutefois le confirmer ni expliquer ce que les utilisateurs concernés verraient à l'écran. Elle ne précise pas non plus la durée potentielle de cette transmission.
Aucune exploitation de cette vulnérabilité n'a été signalée. Elle concerne uniquement la procédure de fermeture d'un appel. Elle n'implique ni vol de mots de passe, ni compromission de comptes, ni exposition de l'historique des messages nécessitant une réinitialisation du mot de passe.
Ce qu'il faut faire
Les développeurs ont mis à jour le code afin de rendre l'arrêt plus résistant lorsqu'une file d'attente interne d'un appel est pleine ou qu'une autre étape de terminaison échoue.
Installez toutes les mises à jour Signal disponibles sur vos appareils. Le correctif est disponible dans la bibliothèque RingRTC sous-jacente, mais les versions de l'application Signal concernées et corrigées en premier n'ont pas encore été confirmées publiquement dans les sources consultées.
Personnellement, j'ai trouvé une mise à jour sur le Google Play Store qui a apporté mon Android J'ai mis à jour l'application vers la version 8.32.2. Je ne l'ai pas trouvée sur l'App Store d'Apple, mais cela est peut-être dû à l'activation des mises à jour automatiques . La version actuelle sur mon iPad est la 8.32 (1910). Je pense donc qu'elle est à jour, mais c'est difficile à confirmer sur le site web de Signal.
J'ai envoyé un courriel à Signal pour obtenir des éclaircissements et je mettrai cet article à jour dès que j'aurai une réponse.
Les escrocs en savent plus sur vous que vous ne le pensez.
Malwarebytes Mobile Security Vous protège contre le phishing , les SMS frauduleux, les sites malveillants et bien plus encore. Grâce à sa protection anti-arnaques intégrée, basée sur l'IA et fonctionnant en temps réel.
