Een kritieke kwetsbaarheid in chatapp Signal zorgt ervoor dat de microfoon en mogelijk ook de camera ingeschakeld kunnen blijven na het ophangen van een telefoon- of videogesprek. Er is een update uitgebracht om het probleem (CVE-2026-113380) te verhelpen. De kwetsbaarheid bevindt zich in de RingRTC library waar Signal gebruik van maakt. Deze middleware library is gebouwd op WebRTC en wordt door Signal gebruikt voor video en voice calling.

Volgens de onderzoeker die het probleem rapporteerde fungeert het ophangen van een gesprek niet als 'kill switch'. Een aanvaller die het slachtoffe belt kan een aanval op de finite state machine (FSM) event queue uitvoeren. Dit onderdeel is verantwoordelijk voor het afhandelen van gebeurtenissen met betrekking tot het gesprek. De aanvaller kan deze event queue overweldigen met 'junk'. Als het slachtoffer vervolgens ophangt wordt het 'ophang' event achteraan de queue geplaatst en nooit verwerkt, waardoor de microfoon open blijft staan.

De kwetsbaarheid, die een CVSS-impactscore heeft van 9.3 op een schaal van 1 tot en met 10, is verholpen in versie 2.72.0 van de RingRTC library. Deze versie werd al in september door Signal uitgerold, maar het bestaan van de kwetsbaarheid is nu pas bekendgemaakt.