Signal'da Kritik Zafiyet: Görüşme Sonlandırılsa Bile Ses ve Görüntü İletilmeye Devam Edebilir
Signal uygulamalarının sesli ve görüntülü görüşme altyapısını oluşturan RingRTC kütüphanesindeki bir açık, çağrı kapatıldıktan sonra bile karşı tarafın veri almaya devam etmesine yol açabiliyor.
Popüler mesajlaşma uygulaması Signal'in sesli ve görüntülü görüşme altyapısında, kullanıcı gizliliğini doğrudan tehdit eden ciddi bir güvenlik açığı tespit edildi. CVE-2026-113380 koduyla takip edilen bu zafiyet, görüşmeyi sonlandıran tarafın cihazında çağrı kapansa bile, karşı tarafa ses ve görüntü iletiminin teknik olarak devam etmesine olanak tanıyor.
Söz konusu hata, uygulamanın WebRTC tabanlı açık kaynaklı kütüphanesi olan RingRTC'nin 2.72.0 sürümü öncesindeki sürümlerini etkiliyor. Araştırmacı Imahian tarafından belgelenen açık, çağrıların sonlandırılma sürecindeki bir kuyruk yönetimi hatasından kaynaklanıyor. Saldırgan, görüşme sırasında çağrının olay kuyruğunu gereksiz verilerle doldurarak, kurbanın 'kapat' komutunun işleme alınmasını engelleyebiliyor. Bu durumda kurban görüşmeyi bitirdiğini düşünürken, uygulama arka planda veri akışını sürdürmeye devam ediyor.
İlginizi çekebilir · Siber GüvenlikLiteLLM Paketine Sızan Saldırganlar Kimlik Bilgilerini ÇalıyorMITRE tarafından 20 Ekim 2026 tarihinde yayınlanan rapor, bu zafiyete 9.3 CVSS puanı vererek durumu kritik seviyede sınıflandırdı. Düşük karmaşıklık seviyesine sahip olan bu saldırı türü, herhangi bir özel yetki gerektirmeden ağ üzerinden gerçekleştirilebiliyor. Android, iOS ve masaüstü dahil olmak üzere RingRTC'nin eski sürümlerini kullanan tüm Signal istemcileri bu risk altında bulunuyor.
Şu ana kadar gerçek dünyada bu açığın sömürüldüğüne dair bir rapor bulunmuyor. Signal geliştiricileri, RingRTC 2.72.0 sürümü ile bu sorunu gidermiş durumda.
