Signal heeft een kritieke kwetsbaarheid in zijn RingRTC-component, de software achter spraak- en videogesprekken in de app. Het lek, geregistreerd als CVE-2026-113380 met een CVSS-score van 9,3, stelt een kwaadwillende beller in staat om audio en video van een gesprek actief te houden nadat het gesprek al is beëindigd.
De fout zit in de manier waarop RingRTC hang-up-events verwerkt. Door de wachtrij met dergelijke events te overspoelen, kan een aanvaller voorkomen dat het daadwerkelijke afsluiten van de verbinding wordt doorgevoerd, terwijl de app aan de kant van het slachtoffer wel laat zien dat het gesprek is beëindigd. Zo kan een aanvaller in theorie blijven meeluisteren of meekijken zonder dat het slachtoffer dat merkt. Het lek treft Signal op Android, iOS en desktop. Het is ontdekt door onderzoeker Imahian.
De bron waarin het lek naar buiten kwam, meldt niet of er al een gepatchte versie beschikbaar is. Gebruikers die zeker willen zijn dat ze de laatste beveiligingsupdates hebben, doen er goed aan hun Signal-app via de officiële appstore of Signals eigen downloadpagina te verversen, en bij een verdacht gesprek de app na afloop volledig af te sluiten en opnieuw te starten.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.