Kaj se je zgodilo
V knjižnici RingRTC, ki poganja glasovne in video klice v aplikaciji Signal, je bila odkrita ranljivost, zavedena kot CVE-2026-113380. Prizadete so različice RingRTC pred 2.72.0. Po navedbah Malwarebytes Labs in Cyber Security News gre za napako v mehanizmu, ki upravlja zapiranje klicev – natančneje v notranji vrsti dogodkov znotraj končnega avtomata (FSM), ki spremlja stanje klica.
Po navedbah virov lahko drug udeleženec klica to vrsto dogodkov preobremeni in s tem onemogoči, da bi lokalna prekinitev klica dejansko zaprla povezavo. Posledica je, da lahko zlonamerni sogovornik še naprej sliši zvok, čeprav je uporabnik klic že prekinil – morda mimobežno pripombo, pogovor z nekom v bližini ali drug zvok iz ozadja. Opisi ranljivosti omenjajo tudi možnost, da ostane aktiven video posnetek, vendar to po navedbah vira ni potrjeno.
Pomembno je poudariti, da napaka ne vpliva na šifriranje pogovorov. Signal še naprej uporablja varno povezavo, težava je izključno v tem, da se ta povezava ob pritisku na gumb za konec klica ne zapre vedno zanesljivo.
V podatkovni bazi NVD je ranljivost objavljena s CVSS 4.0 oceno 9.3, kar jo uvršča v kategorijo kritičnih. EPSS vrednost znaša 0,3 % (podatek z dne 20. oktobra 2026), kar kaže na nizko ocenjeno verjetnost dejanskega izkoriščanja v bližnji prihodnosti. Ranljivost ni uvrščena na seznam CISA KEV, kar pomeni, da trenutno ni potrjenih dokazov o aktivnem izkoriščanju v naravi.
Kaj to pomeni za slovenska in evropska podjetja
Signal uporabljajo tudi podjetja in posamezniki v Sloveniji in širši Evropi za zaupne pogovore, vključno s poslovnimi in pravnimi vsebinami. Ranljivost te vrste je zanimiva predvsem zaradi narave posledic – ne gre za vdor v šifriranje, temveč za možnost nehotenega razkritja zvoka po tem, ko uporabnik upravičeno pričakuje, da je zasebnost obnovljena. Za organizacije, kjer se prek Signala vodijo občutljivi pogovori, je to pomembno opozorilo, čeprav trenutno ni dokazov o dejanskem izkoriščanju.
Priporočeni ukrepi
- Posodobite Signal in z njim povezane odvisnosti na različico, ki vključuje RingRTC 2.72.0 ali novejšo.
- Spremljajte uradna obvestila Signala glede popravkov mobilnih in namiznih aplikacij.
- Pri občutljivih pogovorih bodite pozorni na to, da je klic dejansko zaključen na obeh straneh, preden nadaljujete pogovor v okolici naprave.
- Spremljajte morebitne nadaljnje analize ranljivosti, saj opis o vplivu na video del po navedbah virov še ni dokončno potrjen.
Vprašanja in odgovori
Ali je ranljivost aktivno izkoriščana? Ne, ranljivost ni uvrščena na seznam CISA KEV in ni potrjenih poročil o aktivnem izkoriščanju. EPSS ocena je nizka (0,3 %).
Ali napaka vpliva na šifriranje pogovorov v Signalu? Ne, po navedbah virov gre izključno za težavo pri zapiranju klica, ne pa za slabost v šifriranju vsebine pogovorov.
Katere različice so prizadete? Prizadete so različice knjižnice RingRTC pred 2.72.0, ki poganja klicne funkcije Signalovih mobilnih in namiznih aplikacij.
Pogosta vprašanja
Ali je ranljivost CVE-2026-113380 aktivno izkoriščana?
Ne, ranljivost ni uvrščena na seznam CISA KEV in ni potrjenih poročil o aktivnem izkoriščanju. EPSS ocena znaša 0,3 %, kar kaže na nizko verjetnost izkoriščanja.
Ali napaka ogroža šifriranje pogovorov v Signalu?
Ne, po navedbah virov je težava izključno v postopku zapiranja klica, ne pa v šifriranju vsebine pogovorov.
Katere različice RingRTC so prizadete?
Prizadete so vse različice pred 2.72.0, ki poganjajo klicne funkcije Signalovih mobilnih in namiznih aplikacij.
Sorodne objave
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U