В защищенном мессенджере Signal выявлена серьезная брешь в системе безопасности, которая может привести к несанкционированному доступу к разговорам. Как сообщает издание Register, программная ошибка допускает ситуацию, при которой аудио- и видеопотоки продолжают транслироваться даже после того, как пользователь попытался прервать сессию связи.
Механизм проблемы связан с возможностью перегрузки системы. Злоумышленник или один из участников диалога может отправить чрезмерное количество запросов, что парализует обработку команды на завершение вызова. В таком сценарии один собеседник будет уверен, что разговор окончен, в то время как мессенджер продолжит передавать звук и видео без ведома пользователя.
Данная уязвимость получила официальный идентификатор CVE-2026-113380. По результатам оценки согласно международной системе CVSS, уровень критичности ошибки составляет 9,3 балла из 10 возможных. Проблема затрагивает библиотеку RingRTC и проявляется во всех версиях приложения Signal, выпущенных до версии 2.72.0 включительно.
Несмотря на то, что реализация подобной атаки не представляет исключительной сложности, специалисты отмечают, что данная уязвимость пока не внесена в каталог Агентства по кибербезопасности и защите инфраструктуры (CISA), где фиксируются только те ошибки, которые уже применялись в реальных кибератаках.
Signal позиционирует себя как сервис для обмена сообщениями и совершения звонков, обеспечивающий сквозное шифрование данных, при котором переписка остается недоступной даже для разработчиков. Благодаря открытому исходному коду независимые эксперты могут проводить аудит безопасности платформы, что помогает своевременно обнаруживать подобные дефекты в программном обеспечении.
