Signal'da Kritik Zafiyet: Arama Sonlandırılsa Bile Mikrofon ve Kamera Açık Kalabiliyor

Signal, sesli ve görüntülü görüşmelerde kullanılan RingRTC kütüphanesindeki kritik bir güvenlik açığını giderdi. CVE-2026-113380 koduyla tanımlanan ve 9.3 CVSS puanına sahip olan bu zafiyet, kötü niyetli bir arayanın, kurban aramayı sonlandırdıktan sonra bile ses ve görüntü akışını aktif tutabilmesine olanak tanıyor.

Söz konusu açık, uygulamanın kullandığı Finite State Machine (FSM) olay kuyruğunun, saldırgan tarafından gönderilen gereksiz verilerle doldurulması sonucu yaşanıyor. Arama sonlandırma isteği bir acil durdurma komutu olarak değil, kuyruğa eklenen sıradan bir olay olarak işlendiği için, saldırgan kuyruğu sürekli meşgul ederek sonlandırma sinyalinin işlenmesini süresiz olarak engelleyebiliyor. Bu durum, kurban aramayı kapattığını düşünse bile cihazının mikrofon ve kamerasının karşı tarafa veri göndermeye devam etmesine yol açıyor.

Signal, bu sorunu RingRTC 2.72.0 sürümüyle birlikte çözüme kavuşturdu. 4 Eylül tarihinde yayınlanan bu güncelleme, arama sonlandırma isteklerinin kuyrukta engellenmesini önleyerek bu komutların bağımsız bir şekilde algılanmasını sağlıyor. Kullanıcıların herhangi bir güvenlik riskiyle karşılaşmamaları için uygulamalarını en kısa sürede güncellemeleri gerekiyor. Güncelleme imkanı olmayanların ise görüşme sonrasında arama göstergesini kontrol ederek bağlantının gerçekten kesildiğinden emin olmaları tavsiye ediliyor.

İlginizi çekebilir · Siber GüvenlikeMudhra, Özel Anahtarları Saniyeler İçinde Çözülen SSL Sertifika Birimini Kapattı