Signal'deki açık, arama kapatıldıktan sonra da ses ve görüntü akışını sürdürebiliyor

Signal'de sesli ve görüntülü aramaları yürüten açık kaynak RingRTC kütüphanesindeki kritik bir açık, kötü niyetli bir arayanın kurbanın aramayı sonlandırmasını engellemesine ve kurban aramayı kapattığını düşünürken cihazından ses ile muhtemelen görüntü akışının sürmesine yol açabiliyordu. SecurityWeek ve Help Net Security'nin aktardığına göre CVE-2026-113380 olarak izlenen ve 9.3 CVSS puanı taşıyan açık bu hafta kamuoyuyla paylaşıldı; düzeltme RingRTC 2.72.0 sürümünde yer alıyor.

Neler oldu?

Help Net Security'ye göre MITRE, CVE kaydını 20 Ekim 2026'da yayımladı. SecurityWeek, açığın ayrıntılarının ve kavramsal bir kavram kanıtının salı günü bir araştırmacı tarafından GitHub'daki bir yazıda paylaşıldığını, NIST'in de aynı gün açığı Ulusal Zafiyet Veritabanı'na (NVD) eklediğini aktardı. Help Net Security araştırmacıyı GitHub'daki Imahian adıyla tanımladı. İki yayında da Signal'den, düzeltmenin tarifi dışında bir açıklama yer almıyor.

Teknik detaylar

WebRTC tabanlı RingRTC, arama durumunu olay kuyruğuna sahip bir sonlu durum makinesiyle yönetiyor. Help Net Security'nin aktardığına göre CVE kaydı, bu kuyruğu dolduran bir karşı tarafın yerel kapatma isteğinin aramayı sonlandırmasını engelleyebildiğini belirtiyor. SecurityWeek bunu mümkün kılan üç tasarım sorununu sıraladı: kapatma isteği anında devreye giren bir kesme anahtarı yerine sıradan bir kuyruk olayı olarak işleniyordu, karşı taraftan gelen olaylar için hız sınırı yoktu ve kapatma olaylarına öncelik verilmiyordu.

Kavramsal senaryoda saldırgan normal bir arama başlatıyor ve olay kuyruğunu dolduruyor; böylece kurbanın kapatma isteği birikmiş olayların arkasında takılı kalıyor. Bu durumda kurbanın mikrofonu ve muhtemelen kamerası, arama bitti sanılırken veri göndermeye devam edebiliyor. Help Net Security'ye göre CVSS 4.0 vektörü saldırıyı ağ üzerinden, düşük karmaşıklıkta ve yetki gerektirmeden gerçekleştirilebilir olarak değerlendiriyor; gizlilik ve bütünlük etkisi yüksek.

SecurityWeek'e göre Signal, arama sonlandırma isteklerinin artık olay kuyruğunda engellenmemesi ve bağımsız olarak algılanması için kodu değiştirdi.

Kimler etkileniyor?

Help Net Security, 2.72.0 öncesindeki RingRTC sürümlerinin savunmasız olduğunu ve sorunun eski derlemeyi barındıran Android, iOS ve masaüstü Signal istemcilerini etkilediğini aktardı. SecurityWeek'e göre RingRTC 2.72.0 4 Eylül'de yayımlandı; yani güncel Signal sürümlerinde düzeltmenin zaten bulunması bekleniyor. Açığın gerçek saldırılarda istismar edildiğine dair bir bilgi yok ve CISA'nın Bilinen İstismar Edilen Açıklar kataloğuna da eklenmedi.

Ne yapmalı?

Kullanıcıların arama yaptıkları tüm cihazlarda, daha seyrek güncellenebilen masaüstü kurulumlar dahil, Signal'in en son sürümde olduğundan emin olması gerekiyor. SecurityWeek, cihazlar güncellenene kadar uygulamadaki arama göstergesinden aramanın gerçekten sona erdiğinin kontrol edilmesini öneriyor. Hassas iletişim için Signal kullanan kurumlar, yönetilen cihazlardaki istemci sürümlerini doğrulamalı.