Signal էլեկտրոնային հավելվածում ի հայտ է եկել կրիտիկական խոցելիություն, որը զանգն ավարտելուց հետո կարող է թույլ չտալ կապի լրիվ անջատումը՝ թողնելով ակտիվ ձայնային կամ տեսանյութային ալիքները։
CVE-2026-113380 ծածկագրով խոցելիությունը հրապարակվել է MITRE-ի կողմից և ստացել CVSS 9.3 բարձր գնահատականը։ Խնդիրն առնչվում է Signal-ի open-source RingRTC գրադարանի մինչև 2.72.0 տարբերակներին։ Թեև թարմացումը թողարկվել էր դեռ նախորդ ամիս, խոցելիության մասին պաշտոնապես հայտարարվել է միայն հիմա։
RingRTC-ն WebRTC տեխնոլոգիայի հիման վրա ստեղծված հատուկ գրադարան է, որն ապահովում է Signal-ի զանգերի ֆունկցիոնալությունը։ Խնդիրը կայանում է նրանում, որ որոշակի պայմաններում համակարգը չի կարողանում մշակել զանգն անջատելու հարցումը։ Սա իրենից ներկայացնում է «հարձակում ծառայությունից հրաժարման տեսքով» (DoS)՝ RingRTC-ի իրադարձությունների հերթի (FSM) վրա։ Եթե զանգի մասնակիցներից մեկը հարցումներով ծանրաբեռնում է հերթը, համակարգը չի հասցնում մշակել անջատման հրահանգը։
Չարագործների կողմից սույն խոցելիության կիրառման դեպքում զրուցակիցը կարող է կարծել, թե զանգն ավարտվել է, սակայն նրա բարձրախոսը կամ տեսախցիկը կշարունակեն ակտիվ մնալ։
Signal-ի վերջին թարմացման մեջ ինժեներները ավելացրել են մեխանիզմ, որը թույլ է տալիս զանգի ավարտի հրահանգը ֆիքսել իրադարձությունների հերթից անկախ, ինչպես նաև սահմանել են ժամանակային լիմիտ (timeout)՝ կախված գործընթացների պատճառով անջատումը չբլոկավորելու համար։
Օգտատերերին հորդորվում է անհապաղ թարմացնել Signal հավելվածի թե՛ բջջային, թե՛ համակարգչային տարբերակները՝ անվտանգության սպառնալիքներից խուսափելու համար։