Falha no Signal permitia manter o áudio da chamada ativo após o encerramento

A falha, rastreada como CVE-2026-113380 (CVSS 9.3), afeta versões do RingRTC anteriores à 2.72.0. O RingRTC é a biblioteca de código aberto por trás das chamadas de voz e vídeo do Signal, usada nos aplicativos móveis e no desktop.

O problema está no encerramento da chamada, não na criptografia. Segundo a descrição publicada, outro participante poderia inundar a fila interna de eventos e atrapalhar as etapas que deveriam desconectar a ligação quando você desliga. O risco é que a pessoa continue ouvindo o áudio depois que você acredita ter terminado a conversa, incluindo comentários soltos ou sons de fundo. A descrição também menciona que o vídeo poderia continuar ativo, mas isso não é confirmado, e não há informação sobre por quanto tempo a transmissão persistiria.

Não há relatos de exploração ativa. O caso não envolve senhas roubadas, contas comprometidas nem histórico de mensagens exposto, então não exige troca de senha. A correção torna o desligamento mais resiliente quando a fila está cheia ou quando outra etapa de encerramento falha. As versões do app Signal afetadas e as primeiras corrigidas ainda não foram confirmadas publicamente nas fontes consultadas. O autor da fonte viu o app Android em 8.32.2 após atualização, mas não conseguiu confirmar o status do iOS (8.32, build 1910) no site do Signal.

Para quem cuida de segurança, o ponto é que o CVSS alto convive com um cenário específico: o atacante precisa ser participante da chamada. Para equipes que orientam usuários ou dispositivos corporativos, a recomendação prática é garantir que o Signal esteja atualizado e acompanhar a confirmação oficial das versões corrigidas do app, já que isso ainda está em aberto.