Signalの通話ソフトウェアに最近明らかになった欠陥により、通話終了後も相手に音声が聞こえ続ける可能性がある。
CVE-2026-113380 （ CVSSスコア9.3/10）として追跡されているこの脆弱性は、RingRTCのバージョン2.72.0より前のバージョンに影響します。RingRTCは、Signalの音声通話およびビデオ通話機能の基盤となるオープンソースライブラリであり、モバイルおよびデスクトップアプリケーション向けの通話コンポーネントを提供しています。
この脆弱性は、Signalの通話ライブラリが通話を終了する方法に関するものです。会話の暗号化方法には影響しません。公開された脆弱性の説明によると、別の参加者が通話の内部イベントキューを過負荷状態にし、通話終了時に通話を切断するはずの処理を妨害する可能性があります。
主な懸念事項は、会話が終わったと思われた後でも、意図せず音声が盗聴される可能性があることです。悪意のある通話参加者がこの脆弱性を悪用した場合、相手がもはや共有するつもりはなかった音声を聞き続けることになる可能性があります。これには、何気ない発言、近くにいる人との会話、その他のプライベートな背景音などが含まれる可能性があります。
脆弱性の説明には、動画が再生され続ける可能性があると記載されているものの、その動作を確証するものではなく、影響を受けたユーザーの画面に何が表示されるかについても説明されていない。また、継続的な送信がどのくらいの時間続く可能性があるのかも明記されていない。
実環境での悪用事例は報告されていません。この脆弱性は、通話の切断方法のみに関わるものであり、パスワードの盗難、アカウントの侵害、パスワードのリセットを必要とするメッセージ履歴の漏洩には関係ありません。
どうすればいい
開発者たちは、呼び出しの内部キューが満杯になった場合や、他の終了処理が失敗した場合に、シャットダウン処理がより安定するようにコードを更新しました。
お使いのデバイスに利用可能なSignalのアップデートをすべてインストールしてください。修正プログラムは基盤となるRingRTCライブラリで提供されていますが、影響を受けるSignalアプリのバージョンと最初に修正されたバージョンは、確認済みの情報源ではまだ公表されていません。
個人的には、Google Play ストアでアップデートを見つけ、 Android アプリをバージョン8.32.2にアップデートしました。Apple App Storeでは見つかりませんでしたが、これは自動アップデートが有効になっているためかもしれません。iPadの現在のバージョンは8.32（1910）と表示されています。これはすべてパッチが適用されていることを意味すると思いますが、SignalのWebサイトから確認するのは困難です。
Signal社に確認のメールを送りましたので、返信があり次第、この記事を更新します。
詐欺師たちは、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Security フィッシング詐欺、詐欺メール、悪質なサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardが内蔵されています。
