Критическая уязвимость в Signal: слежка после отбоя
Коротко: 20 октября 2026 года была раскрыта критическая уязвимость CVE-2026-113380 (CVSS 9.3) в RingRTC — библиотеке, которая обслуживает аудио- и видеозвонки в Signal. Собеседник мог намеренно переполнить очередь обработки команд звонка, из-за чего команда «положить трубку» на вашей стороне зависала, а микрофон и, возможно, камера оставались активными и продолжали передавать данные. Уязвимость закрыта ещё в сентябре 2026 года — риск несёт только устаревшее приложение. Если вы вообще не обновляли Signal с лета, самое время: разбор того, какие данные вообще способны утекать через мессенджеры, есть в материале о защите переписки в мессенджерах.
Что произошло
MITRE опубликовала запись CVE-2026-113380 20 октября 2026 года с оценкой 9.3 по шкале CVSS 4.0 — это «критический» уровень. Уязвимость находится в RingRTC — открытой библиотеке звонков, на которой построены голосовые и видеовызовы Signal для Android, iOS и Desktop. Проблема относится к классу CWE-754 (некорректная обработка исключительных ситуаций) и была закрыта в версии RingRTC 2.72.0, вышедшей в сентябре 2026 года — то есть раскрытие информации произошло уже после выпуска патча.
Как работает атака
Вызовы в RingRTC обрабатываются через внутреннюю очередь событий конечного автомата (FSM). Участник звонка мог намеренно «затопить» эту очередь потоком служебных сигналов, создавая затор: команда локального завершения звонка — той самой кнопки «положить трубку» — вставала в очередь позади мусорных событий и не выполнялась вовремя. Результат — медиапоток (аудио, а в некоторых сценариях и видео) продолжал поступать собеседнику уже после того, как пользователь визуально «повесил трубку». В открытом доступе на GitHub опубликован рабочий proof-of-concept на Python длиной около 60 строк, эксплуатация оценивается как несложная. По данным CISA, случаев применения уязвимости в реальных атаках на момент публикации не зафиксировано.
Кого это касается
Под угрозой — пользователи с устаревшими версиями приложений: Signal для Android до 8.27.0, Signal для iOS до 8.30.0 и Signal Desktop до 8.29.0. Во всех текущих версиях, выпущенных после сентябрьского патча RingRTC, уязвимость устранена. Signal позиционируется как один из самых защищённых мессенджеров именно благодаря сквозному шифрованию — этот случай показывает, что шифрование канала не спасает, если уязвим сам код обработки звонка на устройстве.
Почему это опаснее обычного DoS
Формально механизм атаки — отказ в обслуживании (DoS) против локальных сигналов управления, но последствия выходят далеко за рамки «зависшего интерфейса». Жертва видит на экране, что звонок завершён, и ведёт себя соответственно — говорит в присутствии микрофона, возвращается к обычным делам в поле зрения камеры, — не подозревая, что передача данных не прекратилась. Это классический сценарий скрытого аудио- и видеонаблюдения: угроза не в взломе шифрования, а в манипуляции состоянием приложения, которому пользователь доверяет визуальный индикатор «звонок окончен». Похожий принцип — компрометация устройства, которое выглядит штатно работающим, — мы разбирали в материале о взломе веб-камеры ноутбука.
Что делать прямо сейчас
- Проверьте версию Signal в App Store, Google Play или на официальном сайте и обновитесь до версии не ниже Android 8.27.0, iOS 8.30.0 или Desktop 8.29.0.
- Включите автообновление приложений — критические патчи мессенджеров закрывают окно уязвимости быстрее всего именно так.
- После важных звонков в чувствительном контексте не полагайтесь только на экран «звонок завершён» — физически закрывайте приложение или проверяйте индикатор активности микрофона/камеры в шторке ОС (Android и iOS показывают такой значок, даже если приложение уверяет, что звонок окончен).
- Если вы администрируете устройства или чувствительные звонки идут через публичный либо недоверенный Wi-Fi, шифрованный канал вроде LiMP VPN закрывает отдельный риск — перехват трафика по пути — но не заменяет обновление самого приложения, которое закрывает именно эту уязвимость.
Источники
Частые вопросы
Нужно ли мне что-то делать, если я давно не обновлял Signal?
Да — обновите приложение до Android 8.27.0, iOS 8.30.0 или Desktop 8.29.0 и выше. Уязвимость закрыта в библиотеке RingRTC 2.72.0 (сентябрь 2026), более ранние версии приложений остаются уязвимы.
Значит ли это, что сквозное шифрование Signal скомпрометировано?
Нет. Шифрование самого протокола не затронуто — проблема в обработке команды завершения звонка на уровне клиента (библиотека RingRTC), из-за чего медиапоток мог продолжаться дольше, чем ожидал пользователь.
Защитит ли VPN от этой уязвимости?
Нет, VPN не исправляет саму уязвимость — это задача обновления приложения. VPN закрывает отдельный риск: перехват трафика при звонках через публичный или недоверенный Wi-Fi, что не связано с CVE-2026-113380 напрямую.