Signalの通話ライブラリに切断阻害の脆弱性―終了操作後も音声通信が続くおそれ

Signalの音声・映像通話に使われるRingRTCで、通話の切断を妨げる脆弱性CVE-2026-113380が2026年10月20日に公表されました。対象は2.72.0未満です。修正版は9月4日に公開されており、今回の公表日と修正の提供日は異なります。

問題は、通話相手が内部のイベント処理待ちを大量の要求で埋めたときに起きます。利用者が切断を指示しても、通話を終了させる処理が進まず、音声の通信が残るおそれがあります。CVEの説明では映像にも影響する可能性が示されています。暗号化された通信を解読する問題ではなく、接続済みの通話相手との通信を止められないことが問題です。

開発元の修正では、終了要求を通常の処理待ちとは別に記録し、終了の待機に5秒の上限を設けています。通常のイベント処理が詰まっていても、後始末へ進めるための変更です。公開されたコードには、切断処理に関するテストも追加されています。

Signal利用者は各端末のアプリを更新し、独自にRingRTCを組み込む開発者は2.72.0以降の取り込みを確認してください。RingRTCの版番号とSignalアプリの版番号は別です。参照した公表情報は脆弱性と修正の説明であり、この問題による盗聴被害の発生を確認した報告ではありません。