Безопасность 22 октября 2026, 16:07 МСК

В библиотеке RingRTC мессенджера Signal найдена критическая уязвимость CVE-2026-113380

Ошибка в RingRTC может оставлять микрофон или камеру собеседника доступными даже после завершения звонка.

По данным The Register, которые пересказывает CNews, уязвимость получила 9,3 балла из 10 по CVSS. Она есть в библиотеке с открытым кодом RingRTC во всех версиях до 2.72.0, сложность атаки низкая.

Участник звонка может засорить очередь событий, куда попадает и команда завершения вызова. Тогда запрос на разрыв соединения «застревает», и канал связи остаётся открытым. Причина — ненадлежащая обработка исключительных ситуаций (CWE-754): разработчики не предусмотрели переполнение очереди.

Исправление вышло ещё в сентябре 2026 года, а подробности опубликовали 20 октября. На GitHub доступен демонстрационный PoC-скрипт на Python в 60 строк. В каталоге CISA сведений об использовании уязвимости в реальных атаках нет, но пользователям советуют обновить Signal до последней версии.

• CVSS 9,3, затронуты версии RingRTC до 2.72.0
• Патч вышел в сентябре, раскрыто 20 октября
• В каталоге CISA случаев атак нет