Signal corrige falha que deixava microfone e câmera ativos após desligar
Falha crítica na biblioteca de chamadas RingRTC do Signal (CVE-2026-113380, CVSS 9.3) permitia que a outra parte da chamada mantivesse o áudio e possivelmente o vídeo ativos depois de o usuário desligar, saturando a fila de eventos da chamada. A correção saiu no RingRTC 2.72.0, incorporado ao Signal Desktop em setembro, segundo o The Register, e não há relatos de exploração em campo. Atualize o Signal em todos os dispositivos usados para chamadas.
O que aconteceu
O Signal corrigiu uma falha (CVE-2026-113380, nota 9.3 no CVSS) na biblioteca de chamadas RingRTC. Um chamador malicioso podia impedir o encerramento correto da chamada: o usuário desligava, mas o microfone e possivelmente a câmera continuavam ativos com a outra parte.
Por que importa
Conversas ditas após desligar podiam ser captadas sem aviso, expondo informações sensíveis de quem usa o Signal para chamadas em Android, iOS e Desktop. As fontes não relatam exploração em campo até agora, mas a prova de conceito já é pública.
O que fazer
Atualize o Signal em todos os dispositivos, móveis e desktop. Verifique se cada cliente está na versão mais recente, pois a correção depende do RingRTC 2.72.0 embutido no aplicativo.
Para o time técnico
- CVE
- CVE-2026-113380
- Afetados
- RingRTC, biblioteca de chamadas do Signal (@signalapp/ringrtc) · RingRTC antes de 2.72.0; todo cliente Signal que embute versão anterior da biblioteca: Android, iOS e Desktop.
- Exploração
- Sem exploração relatada em campo; CISA não incluiu a falha no catálogo KEV e o NVD a lista como aguardando análise. Há prova de conceito conceitual, um script Python que simula a inundação da fila, documentada pela pesquisadora Imahian em relato no GitHub.
- Correção
- RingRTC 2.72.0. Segundo o commit, o FSM passa a detectar pedidos de término de forma independente da fila de eventos (flag terminate_requested), com timeout de 5 segundos (TERMINATE_TIMEOUT) para derrubar a chamada mesmo com o processamento travado. O Signal Desktop incorporou o RingRTC 2.72.0 em setembro, segundo o The Register; as datas exatas de distribuição nas demais plataformas não estão claras.
- Vetor
- Biblioteca RingRTC do Signal (sobre WebRTC), falha classificada como CWE-754. A fila de eventos da máquina de estados finitos (FSM) da chamada aceita eventos do par remoto sem limite de taxa e sem prioridade para o desligar; o atacante, já em chamada com a vítima, inunda a fila com eventos inúteis e o pedido local de desligar fica preso atrás do acúmulo. Ataque pela rede, complexidade baixa, sem necessidade de privilégios. A vítima acredita que a chamada terminou, com áudio e possivelmente vídeo ainda ativos.
- Mais detalhes
- CVE-2026-113380 publicada pelo MITRE em 20/10/2026, CVSS 4.0 de 9.3: impacto alto em confidencialidade e integridade, nenhum em disponibilidade. O atacante inicia uma chamada comum e satura a fila; o desligar local é tratado como mais um evento no fim da fila. O The Register afirma que a atualização foi distribuída em setembro, um mês antes da divulgação pública.
Linha do tempo
Incidente aberto.
Fontes 5 fontes
- CVE-2026-113380 MITRE
- RingRTC fix commit Signal
- Signal bug could keep your mic - and camera - on after hangup The Register
- Signal flaw could expose audio and video even after users hang up Help Net Security
- Signal Vulnerability Lets Malicious Callers Block Hang-Ups SecurityWeek
