// CLUBIC — CYBERSECURITY
Oups, ce bug sur Signal permettait d'écouter la conversation même après avoir raccroché
Une faille critique corrigée dans la bibliothèque d’appels de Signal permettait à un correspondant de continuer à capter votre audio après que vous aviez raccroché. Le correctif existe depuis début septembre, mais la vulnérabilité vient seulement d’être rendue publique.
La faille, référencée CVE-2026-113380, touche toutes les versions de RingRTC antérieures à 2.72.0. Elle affiche un score de 9,3 sur 10 sur l’échelle de sévérité CVSS.
RingRTC est la bibliothèque open source derrière les appels vocaux et vidéo de Signal, sur mobile comme sur ordinateur. La faille ne touche pas le chiffrement des conversations. Elle concerne uniquement la façon dont un appel se termine. Aucun message, mot de passe ou historique n’a été exposé, et changer ses identifiants ne sert à rien ici.
Pour fonctionner, RingRTC s’appuie sur des machines à états. C’est un composant logiciel qui suit chaque étape d’un appel, et chaque action passe par une file d’événements. Y compris quand on raccroche et termine l’appel. Un appelant malveillant peut saturer cette file avec des requêtes. La demande de fin d’appel envoyée par votre téléphone n’est alors jamais traitée. L’appel paraît terminé à l’écran, mais votre micro continue d’émettre vers votre correspondant. Il devient alors possible d’entendre une remarque lâchée après avoir terminé l’appel, une discussion avec quelqu’un à côté ou du simple bruit de fond. Le descriptif de la vulnérabilité évoque aussi la vidéo, sans confirmer ce comportement ni en donner la durée.
Signal a corrigé le problème le 4 septembre 2026, sous le pseudonyme « jim-signal ». La machine à états vérifie désormais un indicateur de terminaison directement, sans passer par la file d’événements. Un délai d’expiration a aussi été ajouté pour qu’une file bloquée ne retarde plus indéfiniment la coupure. AU passage, la faille n’est pas restée purement théorique et le chercheur Ahian a publié une démonstration bel et bien fonctionnelle après la divulgation.
Aucune exploitation n’a été signalée. Le CVE n'a été divulgué que le 20 octobre, soit après la mise à disposition du correctif. Mettez simplement Signal à jour partout. Sur Android, la version 8.32.2 disponible sur le Play Store embarque le fix. Sur iOS, c’est moins clair, Signal n'a pas précisé les premières versions corrigées. Sur PC, l’historique de Signal Desktop montre que RingRTC 2.72.0 a été intégrée en septembre.