Безопасность 24 октября 2026, 12:07 МСК

В библиотеке RingRTC мессенджера Signal нашли критическую уязвимость CVE-2026-113380

В Signal обнаружили уязвимость с оценкой 9,3 по CVSS: из-за сбоя звонок может не завершиться, и аудио с видео продолжат передаваться.

Ошибка присутствует во всех версиях собственной библиотеки звонков Signal RingRTC (построена на базе WebRTC) вплоть до 2.72.0. Уязвимости присвоили номер CVE-2026-113380, она отнесена к классу CWE-754 — «ненадлежащая проверка необычных или исключительных условий».

По сути, это атака типа «отказ в обслуживании»: один из участников разговора может перегрузить очередь событий конечного автомата (FSM), управляющего вызовами. Система перестаёт обрабатывать команды, включая завершение звонка. Собеседник может решить, что вызов окончен, хотя передача звука, видео или обоих потоков продолжится без уведомления. Сложность атаки оценивается как низкая; в отчёте на GitHub приведён proof-of-concept на Python.

Данных об использовании уязвимости в реальных атаках нет: в каталоге KEV агентства CISA она не значится. В версии RingRTC 2.72.0 FSM научили распознавать запросы на завершение независимо от очереди событий и добавили тайм-аут, чтобы процесс не зависал. Пользователям мобильных и десктопных приложений рекомендуют обновиться.

Отдельно сообщается, что исследователи Венского университета нашли уязвимость в WhatsApp* и Signal, позволяющую точно отслеживать местоположение пользователя по номеру телефона.

* Компания Meta Platforms Inc., владеющая соцсетями Facebook и Instagram, признана экстремистской организацией, её деятельность в России запрещена.

• CVE-2026-113380, оценка CVSS — 9,3
• Затронуты все версии RingRTC до 2.72.0 включительно
• Случаев эксплуатации в реальных атаках в KEV нет