Uma vulnerabilidade no Signal poderia permitir que um participante malicioso continuasse recebendo áudio mesmo depois de a outra pessoa encerrar uma chamada. O problema afeta a biblioteca RingRTC, responsável pelas chamadas de voz e vídeo do aplicativo, e foi divulgado publicamente em 20 de outubro de 2026, quando já havia uma correção disponível.
A falha, identificada como CVE-2026-113380, recebeu classificação crítica, com pontuação de 9,3 em uma escala de 10. Segundo o alerta divulgado pelo CSIRT italiano e reproduzido pelo CSIRT Toscana, a vulnerabilidade poderia impedir o encerramento adequado de uma conexão, expondo conversas e sons do ambiente sem que o usuário percebesse.
O problema está no processamento dos eventos internos que controlam o estado de uma chamada. Um participante malicioso poderia sobrecarregar a fila de eventos da RingRTC, fazendo com que uma solicitação de desligamento não fosse executada corretamente. Assim, a pessoa que encerrou a conversa poderia acreditar que a comunicação havia terminado, embora a transmissão de áudio continuasse ativa.
A documentação técnica também aponta a possibilidade de permanência da transmissão de vídeo, mas esse comportamento não foi confirmado da mesma forma que o risco envolvendo áudio. Tampouco está estabelecido por quanto tempo uma conexão poderia permanecer aberta nessas condições.
A vulnerabilidade não representa uma quebra da criptografia do Signal. O risco está no gerenciamento da chamada: mesmo com o conteúdo protegido durante a transmissão, uma conexão que deveria ter sido encerrada poderia continuar enviando informações ao outro participante.
A correção foi incorporada à versão 2.72.0 da RingRTC. O código publicado no repositório do Signal introduz uma sinalização específica para pedidos de encerramento e um limite de espera de cinco segundos, evitando que falhas no processamento dos eventos impeçam indefinidamente a finalização da chamada.
Quais versões do Signal corrigem a vulnerabilidade
O alerta técnico publicado em 20 de outubro identifica versões vulneráveis nos três principais ambientes em que o Signal está disponível.
No Android, são afetadas as versões anteriores à 8.27.0. No iOS, o limite informado é a versão 8.30.0, enquanto no Signal Desktop o problema atinge versões anteriores à 8.29.0. A biblioteca RingRTC, utilizada pelos aplicativos, precisa estar na versão 2.72.0 ou posterior.
Essas referências constam do comunicado de segurança reproduzido pelo CSIRT Toscana. A reportagem publicada pelo The Register em 21 de outubro, porém, observou que as datas exatas de incorporação da biblioteca corrigida em cada plataforma não estavam completamente esclarecidas nas notas públicas do Signal.
Por isso, a recomendação é atualizar o Signal para a versão mais recente disponível, tanto em dispositivos móveis quanto em computadores, em vez de depender apenas dos números mínimos informados no alerta.
Até a divulgação das informações técnicas, não havia evidências públicas de exploração da vulnerabilidade em ataques reais. O cenário descrito representa uma possibilidade técnica de exposição de informações, não uma confirmação de que chamadas de usuários tenham sido interceptadas ou mantidas abertas clandestinamente.
