סיימתם שיחה בסיגנל. המסך חזר לרשימת הצ'אטים, הכול נראה כרגיל. לפי חולשה שפורסמה ב-20 באוקטובר במרשם החולשות האמריקאי, היה מצב שבו השיחה לא נסגרה בכלל, והמיקרופון שלכם, ולפעמים גם המצלמה, המשיכו לשדר לצד השני.

מה קרה

כשאתם לוחצים על כפתור סיום השיחה, האפליקציה לא מכבה את המיקרופון באותו רגע. היא מוסיפה את הבקשה לסוף רשימת משימות שהשיחה מטפלת בהן לפי הסדר: הצד השני הצטרף, האודיו התחבר, הווידאו נדלק, השיחה הסתיימה. חוקר אבטחה שמפרסם בכינוי Imahian מצא שאין שום דבר שמונע מהצד השני בשיחה למלא את אותה רשימה באירועים חסרי משמעות. כשהרשימה עמוסה, בקשת הניתוק שלכם ממתינה בתור מאחורי הזבל ולא מגיעה לתורה, ולכן השיחה לא נסגרת.

ההצפנה והשרתים לא קשורים לזה. הכשל הוא בכך שבקשת ניתוק קיבלה אותו מעמד כמו כל אירוע אחר בתור, כשהצד שמעבר לקו הוא מי שממלא אותו.

החולשה יושבת ב-RingRTC, הספרייה שמנהלת את שיחות הקול והווידאו של סיגנל, בכל גרסה שלפני 2.72.0. היא מסומנת CVE-2026-113380 וקיבלה ציון חומרה 9.3 מתוך 10. מכיוון שכל הלקוחות של סיגנל, באנדרואיד, באייפון ובמחשב, בנויים על אותה ספרייה, כולם היו בטווח עד שהאפליקציה קיבלה את הגרסה המתוקנת.

שני דברים מצמצמים את התרחיש, וכדאי לומר אותם. התוקף חייב להיות הצד שאיתו אתם מדברים בפועל, כלומר מישהו שהתקשרתם אליו או שעניתם לו, ולא גורם אקראי מהרשת. ולא דווח על ניצול בפועל: ההדגמה שהחוקר פרסם היא מודל מופשט של התור, בלי רשת ובלי שיחה אמיתית, והוא כותב זאת במפורש.

למה זה חשוב לכם

סיגנל היא האפליקציה שאנשים עוברים אליה כשהם רוצים שיחה שלא נשמרת אצל אף אחד: עיתונאים, עובדי ציבור, עורכי דין ורופאים, וגם מי שפשוט לא רוצה שחברה אחת תחזיק את כל ההתכתבויות שלו. ההצפנה מקצה לקצה עושה בדיוק את מה שהיא מבטיחה, ולכן קל לשכוח מה היא לא מכסה. מה שקורה למיקרופון אחרי שחשבתם שהשיחה נגמרה נמצא מחוץ להבטחה הזאת.

מה עושים?

עדכנו את סיגנל מחנות האפליקציות. זה התיקון היחיד שקיים, ואין הגדרה באפליקציה שעוקפת את החולשה.

הדליקו עדכון אוטומטי לאפליקציה. ספריית השיחות מתעדכנת מתחת לפני השטח בלי שתשימו לב, וזה בדיוק המצב שבו עדכון אוטומטי שווה יותר מכל הגדרה אחרת.

אחרי שיחה רגישה, הציצו בשורת המצב. באייפון נקודה כתומה או ירוקה בפינה העליונה אומרת שהמיקרופון או המצלמה פעילים, ובאנדרואיד מופיע סמן דומה. אם הסימן נשאר דלוק אחרי שסיימתם, סגרו את האפליקציה לגמרי.

אל תענו לשיחות בסיגנל ממספרים שאינכם מזהים. התרחיש הזה מחייב שמישהו יהיה איתכם בשיחה, וזה החלק שאתם שולטים בו.

כפתור שכתוב עליו "סיום" הוא הבטחה שהאפליקציה צריכה לקיים מיד, ולא בקשה שתטופל כשיתפנה הזמן.