Falha crítica no Signal deixava áudio e vídeo ativos após encerrar chamada

Uma vulnerabilidade crítica (CVE-2026-113380) foi descoberta na biblioteca RingRTC, componente de chamadas do Signal, que poderia impedir o encerramento adequado de videochamadas e áudio. A falha afetava todas as versões anteriores à 2.72.0 e permitia que um participante saturasse a fila de eventos responsável por gerenciar chamadas, impedindo que a requisição de desligamento fosse processada — resultado: o outro participante pensaria que a chamada tinha acabado, mas microfone e câmera continuariam ativos. O ataque tem baixa complexidade e recebeu pontuação máxima (9.3) na escala de severidade CVSS.

A correção foi lançada no mês passado, mas o aviso público só saiu recentemente. Signal atualizou seu mecanismo de gerenciamento de eventos para detectar requisições de término independentemente da fila e adicionou um tempo limite para evitar travamentos. Usuários devem atualizar o Signal em todas as plataformas (Android, iOS e desktop) para a versão mais recente. Não há relatos confirmados de exploração em larga escala até o momento.