Uma falha recentemente descoberta no software de chamadas do Signal pode permitir que outro participante continue ouvindo você depois que você desligar.
A vulnerabilidade, identificada como CVE-2026-113380 ( pontuação CVSS de 9,3 em 10), afeta versões do RingRTC anteriores à 2.72.0. O RingRTC é a biblioteca de código aberto por trás da funcionalidade de chamadas de voz e vídeo do Signal, fornecendo componentes de chamada para seus aplicativos móveis e de desktop.
A falha diz respeito à forma como a biblioteca de chamadas do Signal encerra uma chamada. Ela não afeta a criptografia das conversas. De acordo com a descrição da vulnerabilidade publicada , outro participante poderia sobrecarregar a fila de eventos interna de uma chamada e interferir nos procedimentos que deveriam desconectá-la ao encerrar a chamada.
A principal preocupação é a escuta indesejada após alguém acreditar que a conversa terminou. Se um participante malicioso da chamada explorar com sucesso a falha, poderá continuar ouvindo áudios que a outra pessoa não pretendia mais compartilhar. Isso pode incluir um comentário casual, uma conversa com alguém próximo ou outros sons de fundo privados.
A descrição da vulnerabilidade também menciona que o vídeo pode permanecer ativo, mas não confirma esse comportamento nem explica o que os usuários afetados veriam na tela. Também não especifica quanto tempo qualquer transmissão contínua poderia durar.
Não há relatos conhecidos de exploração em ambiente real. A vulnerabilidade diz respeito apenas à forma como uma chamada é encerrada. Não envolve senhas roubadas, contas comprometidas ou históricos de mensagens expostos que exijam a redefinição de senha.
O que fazer
Os desenvolvedores atualizaram o código para tornar o encerramento mais resiliente quando a fila interna de uma chamada estiver cheia ou quando outra etapa de encerramento falhar.
Instale todas as atualizações disponíveis do Signal em seus dispositivos. A correção está disponível na biblioteca RingRTC subjacente, mas as versões do aplicativo Signal afetadas e as primeiras versões corrigidas ainda não foram confirmadas publicamente nas fontes analisadas.
Pessoalmente, encontrei uma atualização na Google Play Store que resolveu o problema. Android Atualizei o aplicativo para a versão 8.32.2. Não encontrei nenhuma atualização na App Store da Apple, embora isso possa ser porque as atualizações automáticas estão ativadas . A versão atual no meu iPad é a 8.32 (1910). Embora eu acredite que isso signifique que tudo está atualizado, é difícil confirmar essa informação pelo site do Signal.
Enviei um e-mail para a Signal solicitando esclarecimentos e atualizarei este artigo assim que receber uma resposta.
Os golpistas sabem mais sobre você do que você imagina.
Malwarebytes Mobile Security Protege você contra phishing , mensagens de texto fraudulentas, sites maliciosos e muito mais. Com proteção contra golpes em tempo real, alimentada por IA e integrada.
