Signal heeft een kwetsbaarheid verholpen die er in bepaalde gevallen voor kon zorgen dat oproepen niet goed werden beëindigd op Android.
Het probleem, geregistreerd als CVE-2026-113380 bevond zich in RingRTC, de opensourcebibliotheek die Signal gebruikt voor spraak- en video-oproepen. Volgens een woordvoerder van Signal kon de bug alleen worden gereproduceerd in Signal voor Android. Om misbruik te kunnen maken van de kwetsbaarheid, moest een aanvaller eerst deelnemen aan een oproep met het slachtoffer. De aanvaller kon vervolgens de wachtrij voor gebeurtenissen van het systeem overbelasten, waardoor audio en mogelijk ook video konden doorgaan nadat de andere persoon het gesprek had beëindigd.
Signal blokkeert echter via het systeem voor gespreksverzoeken automatisch oproepen van onbekende contacten. Willekeurige aanvallers konden daarom geen misbruik maken van deze kwetsbaarheid. Om het slachtoffer te kunnen bellen, zou een aanvaller eerst een gespreksverzoek door het slachtoffer moeten laten accepteren of samen met het slachtoffer in een groepschat moeten zitten. Deze bescherming maakt al jarenlang deel uit van Signal.
De kwetsbaarheid treft RingRTC-versies ouder dan 2.72.0, hoewel dit alleen op Android kon worden gereproduceerd. Er zijn geen meldingen bekend van misbruik van de kwetsbaarheid in de praktijk. Zelfs als er misbruik van de kwetsbaarheid zou worden gemaakt, toont Android indicatoren in de statusbalk wanneer een app de microfoon of camera gebruikt. Hierdoor kunnen gebruikers onverwachte activiteit mogelijk opmerken.
De bugfix is opgenomen in update 8.27 van Signal voor Android, waarvan de uitrol op 9 september 2026 begon. Volgens het gebruikelijke wekelijkse releaseschema is Signal voor Android inmiddels bijgewerkt naar versie 8.33. Hoewel deze bug alleen Android trof, is het belangrijk om Signal op al je apparaten up-to-date te houden, zodat je altijd over de nieuwste beveiligingsverbeteringen en nieuwe functies beschikt.
Blijf op de hoogte
Wil je op de hoogte blijven van het laatste Signal-nieuws en updates, volg ons dan op Bluesky of Mastodon.
