Uma falha recentemente descoberta no software de chamadas do Signal pode permitir que outro participante continue a ouvi-lo depois de desligar.
A vulnerabilidade, identificada como CVE-2026-113380 ( pontuação CVSS de 9,3 em 10), afeta as versões do RingRTC anteriores à 2.72.0. O RingRTC é a biblioteca de código aberto por detrás da funcionalidade de chamadas de voz e vídeo do Signal, fornecendo componentes de chamada para as suas aplicações móveis e de desktop.
A falha diz respeito à forma como a biblioteca de chamadas do Signal termina uma chamada. Não afeta a encriptação das conversas. De acordo com a descrição da vulnerabilidade publicada , outro participante poderia sobrecarregar a fila de eventos interna de uma chamada e interferir com os procedimentos que deveriam desconectá-la ao terminar a chamada.
A principal preocupação é a escuta indesejada após alguém acreditar que a conversa terminou. Se um participante malicioso da chamada explorar com sucesso a falha, pode continuar a ouvir áudios que a outra pessoa já não pretendia partilhar. Isto pode incluir um comentário casual, uma conversa com alguém próximo ou outros sons de fundo privados.
A descrição da vulnerabilidade refere ainda que o vídeo pode permanecer ativo, mas não confirma este comportamento nem explica o que os utilizadores afetados veriam no ecrã. Também não especifica quanto tempo poderia durar qualquer transmissão contínua.
Não são conhecidos relatos de exploração em ambiente real. A vulnerabilidade diz apenas respeito à forma como uma chamada é terminada. Não envolve palavras-passe roubadas, contas comprometidas ou históricos de mensagens expostos que exijam a redefinição da palavra-passe.
O que fazer
Os programadores atualizaram o código para tornar o encerramento mais resiliente quando a fila interna de uma chamada está cheia ou quando outra etapa de encerramento falha.
Instale todas as atualizações disponíveis do Signal nos seus dispositivos. A correção está disponível na biblioteca RingRTC subjacente, mas as versões da aplicação Signal afetadas e as primeiras versões corrigidas ainda não foram confirmadas publicamente nas fontes analisadas.
Pessoalmente, encontrei uma atualização na Google Play Store que resolveu o problema. Android Atualizei a aplicação para a versão 8.32.2. Não encontrei nenhuma atualização na App Store da Apple, embora isso possa ser porque as atualizações automáticas estão ativadas . A versão actual no meu iPad é a 8.32 (1910). Embora acredite que isso signifique que está tudo atualizado, é difícil confirmar esta informação através do site do Signal.
Enviei um e-mail à Signal a solicitar esclarecimentos e atualizarei este artigo assim que receber resposta.
Os burlões sabem mais sobre si do que pensa.
Malwarebytes Mobile Security Protege-o contra phishing , mensagens de texto fraudulentas, sites maliciosos e muito mais. Com proteção contra golpes em tempo real, alimentada por IA e integrada.
