Um erro no encerramento de chamadas do Signal pode fazer com que o microfone e a câmera permaneçam ativos mesmo depois de o usuário tocar no botão para desligar. A vulnerabilidade, identificada como CVE-2026-113380, está na biblioteca RingRTC, responsável por parte do funcionamento das ligações de voz e vídeo do aplicativo. O problema recebeu pontuação CVSS de 9,3 e foi corrigido no RingRTC 2.72.0.
A descoberta chama atenção porque atinge uma etapa que costuma passar despercebida na avaliação da segurança de aplicativos de comunicação. O Signal utiliza criptografia de ponta a ponta para proteger o conteúdo das conversas, mas essa proteção não substitui os controles que determinam quando uma ligação começa, termina e libera os dispositivos de captura. Uma chamada criptografada pode continuar representando risco à privacidade se o aplicativo não encerrar corretamente o uso de áudio e vídeo.
De acordo com a descrição técnica divulgada, a falha envolve o processamento de eventos durante a chamada. Um participante malicioso poderia enviar solicitações em sequência e sobrecarregar a fila da máquina de estados usada pelo RingRTC. Nessas condições, o evento de encerramento poderia não ser processado como esperado. Assim, embora a pessoa tenha solicitado o desligamento, a sessão poderia continuar ativa. O cenário exige condições específicas de interação durante a ligação; não significa que qualquer pessoa consiga ligar remotamente a câmera de um usuário do Signal.
A correção introduzida no RingRTC 2.72.0 reforça o mecanismo de encerramento para que a finalização da chamada não dependa exclusivamente do fluxo normal dessa fila. O histórico do projeto também menciona proteção contra situações em que o encerramento ficaria indefinidamente bloqueado. Como a biblioteca integra aplicativos distribuídos em diferentes plataformas, é necessário distinguir a versão corrigida do componente das versões finais do Signal disponibilizadas aos usuários.
O que a falha significa para a privacidade
A reportagem do The Register, publicada em 21 de outubro, descreve uma prova de conceito associada ao comportamento vulnerável. Isso demonstra a possibilidade técnica do problema, mas não constitui evidência de uma campanha de espionagem em andamento. Até as informações examinadas, não havia confirmação pública de exploração ativa ou de conversas efetivamente capturadas por meio dessa falha. Tampouco há indicação de comprometimento da criptografia ou de acesso indiscriminado a mensagens.
Mesmo assim, o impacto potencial merece atenção. Em uma conversa particular, comentários feitos após a despedida poderiam ser expostos sem que os participantes percebessem. Em empresas, chamadas que envolvam negociações, informações financeiras, dados pessoais, assuntos jurídicos ou decisões estratégicas exigem cuidado adicional. A confiança de que o botão de desligar encerra imediatamente a comunicação faz parte da proteção esperada por quem utiliza esse tipo de ferramenta.
Atualização e medidas de proteção
Para os usuários, a principal providência é manter o Signal atualizado em celulares e computadores, utilizando os canais oficiais de distribuição. Também é recomendável observar os indicadores de uso do microfone e da câmera fornecidos pelo sistema operacional após uma ligação. Se os indicadores permanecerem ativos de maneira inesperada, encerrar completamente o aplicativo e revisar temporariamente suas permissões pode reduzir a exposição enquanto se verifica a atualização disponível.
Para equipes de tecnologia e segurança, o episódio reforça a necessidade de considerar bibliotecas de comunicação no inventário de componentes, acompanhar avisos de segurança dos fornecedores e validar o comportamento de aplicações em situações anormais, como filas saturadas e encerramentos interrompidos. O risco não está apenas em proteger os dados enquanto trafegam pela rede, mas também em garantir que o aplicativo pare de capturá-los quando o usuário determina o fim da conversa.
Be the first to comment