Signal heeft een kritieke beveiligingsfout opgelost waardoor een aanvaller een gesprek kon laten doorlopen, zelfs nadat de gebruiker op “ophangen” had gedrukt. De Signal kwetsbaarheid kreeg de code CVE-2026-113380 met een CVSS-score van 9,3 en raakt de open-source WebRTC-gebaseerde belbibliotheek RingRTC.
Het belangrijkste probleem: een remote beller kon het afhandelingsmechanisme van de call zó verstoren dat de beëindiging niet (tijdig) werd uitgevoerd. Daarmee konden audio en mogelijk video langer actief blijven dan de gebruiker verwachtte.
Wat maakt deze Signal kwetsbaarheid zo ernstig?
Bij audio- en videogesprekken draait er een interne “state machine” die bepaalt hoe een call zich gedraagt. In dit geval kon een kwaadwillende partij de Finite State Machine (FSM) event queue overspoelen met rommel-events. Vervolgens werd het hang-up signaal niet als een directe “kill switch” behandeld, maar als een gebeurtenis die achteraan in dezelfde wachtrij moest aansluiten.
Daarnaast ontbrak er een rate limit voor events die van de peer (de andere partij) afkomstig waren, en had het hang-up event bovendien geen hogere prioriteit. Het gevolg: de beëindiging kon “achteraan blijven hangen” in de stroom aanvallersignalen.
Wat kan een aanvaller precies doen?
Door de fout te misbruiken kon een aanvaller de mediatracks (audio en in sommige scenario’s ook video) actief houden vanaf het doelapparaat, terwijl de victim denkt dat het gesprek beëindigd is.
De kern ligt dus niet alleen in het niet stoppen van de sessie, maar in het risico dat audio (en mogelijk camera) door blijft lopen terwijl de gebruikersinterface suggereert dat de call is afgesloten.
Technische oorzaak: hang-up als normale event, niet als prioriteit
Het was geen kwestie van een ontbrekende functionaliteit, maar van hoe gebeurtenissen werden afgehandeld binnen RingRTC. Volgens de analyse werd de beëindiging:
- niet gezien als een onmiddellijke “kill switch”,
- afgehandeld via dezelfde event queue als andere peer-events,
- zonder rate limit toegestaan voor peer-originated events,
- en zonder prioriteit geplaatst ten opzichte van aanvaller-ruis.
Als een aanvaller de queue blijft voeden, kan de hang-up daardoor praktisch nooit voorrang krijgen. Daarmee blijft de call (microfoon en eventueel camera) mogelijk actief totdat het proces door een ander mechanisme wordt beëindigd.
Welke oplossing is er en hoe werkt de fix?
De kwetsbaarheid is verholpen in RingRTC versie 2.72.0, die op 4 september is uitgebracht. Signal heeft de oplossing toegepast door call termination requests zo te verwerken dat ze niet geblokkeerd raken in de FSM event queue.
Concreet zorgt de aanpak ervoor dat beëindigingsverzoeken onafhankelijk worden gedetecteerd, zodat een aanvaller de wachtrij niet kan “verstoppen” met junk events.
Wat betekent dit voor gebruikers?
De richtlijn is helder: update je Signal-app zo snel mogelijk. Wacht niet tot “het vanzelf overgaat”. Alleen een update met de RingRTC fix kan dit type probleem voorkomen.
Als je twijfelt of de call echt is beëindigd, controleer dan het call-indicator in de app. De boodschap voor gebruikers: vertrouw de handeling (“ik heb opgehangen”) niet blind; check of audio (en eventueel video) daadwerkelijk stopt.
Publicatie en status van de kwetsbaarheid
Details over de Signal kwetsbaarheid werden gepubliceerd op de dag dat de fix al bekend was in de ontwikkeling. Er verscheen tevens een conceptuele proof-of-concept (PoC). De NIST heeft de CVE toegevoegd aan de NVD-database.
Dat betekent dat er nu publieke context is over hoe de fout werkt, wat de noodzaak van een snelle update verder vergroot.
Praktische security-aanpak: voorkom “blijvend actief” bij calls
Naast het updaten kun je als organisatie of beheerder nadenken over aanvullende maatregelen. Denk bijvoorbeeld aan:
- Device monitoring: let op signalen dat audio/video langer actief blijft dan verwacht.
- Patchbeleid: zorg dat messengers/communicatie-apps net zo strak worden geüpdatet als andere internet-facing software.
- Incidentrespons: stel een procedure op voor meldingen van “gesprek blijft lopen” of “microfoon blijft aan”.
Deze Signal casus past in een bredere trend waarin niet alleen klassieke RCE- of datalekrisico’s centraal staan, maar ook controleverlies over sessiebeëindiging en runtime gedrag.
Meer lezen: recente patch- en exploittrends
Als je wilt zien hoe snel kwetsbaarheden kunnen opschuiven van publicatie naar misbruik, zijn deze artikelen relevant:
- Cisco patches: 34 kwetsbaarheden in meerdere producten
- PHP2Shell: dagen vóór patches al misbruikpogingen
- Ransomware en snelle exploitatie: Q3-trends
Conclusie
De Signal kwetsbaarheid (CVE-2026-113380) is opgelost, maar de impact is direct: een aanvaller kon hang-ups zó verstoren dat audio en mogelijk video actief bleven terwijl de gebruiker dacht dat de call was gestopt. Door de fix in RingRTC (2.72.0) worden beëindigingsverzoeken nu niet meer “weggeblokt” in de FSM event queue.
Update daarom je Signal-app zo snel mogelijk en controleer bij twijfel de call-indicator om zeker te weten dat microfoon en camera niet langer actief zijn.
Bron: https://www.securityweek.com/signal-vulnerability-lets-malicious-callers-block-hang-ups/
