Uma vulnerabilidade recém-identificada no aplicativo Signal relacionada ao encerramento de chamadas de voz e vídeo pode permitir que um participante malicioso continue ouvindo o áudio da outra pessoa mesmo após o término da ligação. A informação foi divulgada pelo site Malwarebytes em 21 de outubro de 2026.
Detalhes da vulnerabilidade e seu impacto
Classificada como CVE-2026-113380, com pontuação 9,3/10 na escala CVSS, a falha afeta versões anteriores à 2.72.0 da biblioteca RingRTC. Essa biblioteca de código aberto é responsável pela funcionalidade de chamadas de voz e vídeo no Signal, sendo usada tanto nos aplicativos móveis quanto nos de desktop.
O problema reside na forma como o software encerra uma chamada. Segundo a descrição técnica da vulnerabilidade, um participante malicioso pode sobrecarregar a fila interna de eventos referente à chamada e interferir no processo de desconexão, fazendo com que o encerramento não seja efetivado corretamente.
Isso significa que, mesmo após o usuário desligar a ligação, o invasor poderia continuar recebendo o áudio captado pelo microfone da vítima, incluindo conversas não destinadas ao interlocutor, comentários casuais ou sons do ambiente próximo. Há menção também à possibilidade do vídeo permanecer ativo, embora não haja confirmação oficial sobre o que os usuários veriam ou quanto tempo a transmissão poderia durar.
Limitações e contexto da falha
Importante destacar que a falha não compromete a criptografia das conversas nem expõe mensagens, senhas ou contas dos usuários. Também não há reportes ou evidências conhecidas de exploração prática da vulnerabilidade até o momento. Trata-se de uma falha localizada exclusivamente no momento de encerramento das chamadas, sem envolver outros aspectos de segurança da plataforma.
Correção e recomendações para usuários
Os responsáveis pelo desenvolvimento do Signal já realizaram atualizações no código da biblioteca RingRTC para tornar o processo de encerramento da chamada mais resiliente frente à sobrecarga da fila de eventos. A correção está disponível na versão atualizada da biblioteca e é esperada nos aplicativos Signal, embora não tenha sido oficializada publicamente quais versões já incorporam essa correção.
Na prática, o Malwarebytes relata que a atualização para a versão 8.32.2 do Signal no Android resolve o problema. Para iOS, ainda não há confirmação de atualização específica, mas pode ser que atualizações automáticas já estejam vigentes na App Store, considerando que a versão usada (8.32) parece atualizada. No entanto, a confirmação precisa dependerá de uma resposta oficial do Signal, que foi solicitada pelo Malwarebytes para esclarecimentos adicionais.
Enquanto isso, é recomendável que os usuários mantenham o aplicativo sempre atualizado para diminuir possíveis riscos.
Considerações finais e contexto de segurança
Embora não haja indícios de ataques decorrentes dessa falha, sua gravidade na escala CVSS e o possível vazamento involuntário de áudio mostram a importância da constante manutenção e atualização de softwares de comunicação. Aplicativos que prezam pela segurança e privacidade, como o Signal, precisam garantir que funcionalidades básicas, como o desligamento das chamadas, sejam robustas e sem brechas que possam comprometer usuários.
