Een recent ontdekte kwetsbaarheid in de belsoftware van Signal kan ervoor zorgen dat een andere deelnemer je blijft horen nadat je hebt opgehangen.
De kwetsbaarheid, geregistreerd onder CVE-2026-113380 ( CVSS-score 9,3 van de 10), treft RingRTC-versies ouder dan 2.72.0. RingRTC is de open-sourcebibliotheek achter de spraak- en videobelfunctionaliteit van Signal en biedt belcomponenten voor de mobiele en desktopapplicaties.
Het probleem zit hem in de manier waarop de belbibliotheek van Signal een gesprek beëindigt. Het heeft geen invloed op de manier waarop gesprekken worden versleuteld. Volgens de gepubliceerde beschrijving van de kwetsbaarheid kan een andere deelnemer de interne gebeurteniswachtrij van een gesprek overbelasten en de stappen verstoren die ervoor zouden moeten zorgen dat het gesprek wordt beëindigd.
De grootste zorg is ongewenst meeluisteren nadat iemand denkt dat een gesprek is beëindigd. Als een kwaadwillende deelnemer aan een gesprek de kwetsbaarheid weet te activeren, kan hij of zij mogelijk audio blijven horen die de andere persoon niet meer wilde delen. Dat kan bijvoorbeeld een terloopse opmerking zijn, een gesprek met iemand in de buurt of andere privé-achtergrondgeluiden.
In de beschrijving van de kwetsbaarheid wordt ook vermeld dat de video actief kan blijven, maar dit wordt niet bevestigd en er wordt niet uitgelegd wat getroffen gebruikers op het scherm zouden zien. Ook wordt niet gespecificeerd hoe lang een eventuele continue uitzending zou kunnen duren.
Er zijn geen bekende gevallen van misbruik in de praktijk. De kwetsbaarheid betreft alleen de manier waarop een gesprek wordt beëindigd. Het gaat niet om gestolen wachtwoorden, gecompromitteerde accounts of openbaar gemaakte berichtengeschiedenis die een wachtwoordreset noodzakelijk zouden maken.
Wat te doen
De ontwikkelaars hebben de code bijgewerkt om het afsluiten robuuster te maken wanneer de interne wachtrij van een gesprek vol is of een andere beëindigingsstap mislukt.
Installeer alle beschikbare Signal-updates op uw apparaten. De oplossing is beschikbaar in de onderliggende RingRTC-bibliotheek, maar de getroffen en de eerst gecorrigeerde Signal-appversies zijn nog niet publiekelijk bevestigd in de geraadpleegde bronnen.
Persoonlijk vond ik een update in de Google Play Store die mijn Android De app is bijgewerkt naar versie 8.32.2. Ik kon hem niet vinden in de Apple App Store, hoewel dat misschien komt doordat ik automatische updates heb ingeschakeld . De huidige versie op mijn iPad is 8.32 (1910). Hoewel ik denk dat dit betekent dat alle patches zijn geïnstalleerd, is dit moeilijk te bevestigen via de website van Signal.
Ik heb Signal een e-mail gestuurd voor opheldering en zal dit artikel bijwerken zodra ik antwoord heb ontvangen.
Oplichters weten meer over je dan je denkt.
Malwarebytes Mobile Security Beschermt u tegen phishing , frauduleuze sms'jes, schadelijke websites en meer. Met ingebouwde, realtime AI-gestuurde Scam Guard.
