Критическая уязвимость в Signal позволяла подслушивать пользователей

Разработчики приложения Signal устранили серьезную уязвимость в библиотеке RingRTC, которая позволяла мошенникам сохранять доступ к микрофону и камере пользователя даже после нажатия кнопки завершения разговора. Ошибка, получившая идентификатор CVE-2026-113380, затрагивала версии мессенджера ниже 2.72.0 и оценивается экспертами в 9,3 балла из 10 по шкале CVSS. Исправление было выпущено в сентябре 2026 года, однако публичные подробности о ней стали известны лишь 20 октября.

Проблема заключалась в том, что один из участников звонка мог перегрузить очередь запросов, из-за чего система не справлялась с обработкой команды на разрыв соединения. В результате каналы передачи данных оставались открытыми, и собеседник мог продолжать получать аудио- и видеопоток без ведома пользователя. Подтвержденных случаев эксплуатации этой уязвимости для слежки на данный момент не зафиксировано. Несмотря на это, профильные ведомства, включая CISA, и журналисты призывают пользователей немедленно обновить приложение на мобильных устройствах и компьютерах.

Signal ранее уже сталкивался с подобными инцидентами безопасности. В 2020 году израильская компания Cellebrite заявляла о возможности взлома приложения, а в мае 2026 года власти Польши начали переводить чиновников с этого сервиса на национальную разработку mSzyfr. На фоне этих событий в октябре 2026 года в десктопной версии Telegram также была обнаружена уязвимость, позволяющая злоумышленникам получать доступ к файлам на устройстве пользователя.

Пользователям рекомендуется проверить версию своего приложения и установить последнее обновление, чтобы исключить риск несанкционированного сбора данных. В официальных источниках не указано точных дат следующих крупных обновлений безопасности, однако актуальная версия на данный момент уже включает патч для исправления описанной проблемы.