Une faille critique référencée sous le matricule CVE-2026-113380 touchait l’application de messagerie Signal. Identifiée dans la bibliothèque open source RingRTC qui gère les appels audio et vidéo, elle permettait à un correspondant de continuer à capter l’audio de votre microphone même après avoir mis fin à l’appel.
Le problème provenait de la gestion des machines à états dans RingRTC. Un attaquant pouvait saturer la file d’événements au moment de raccrocher, bloquant la requête de fermeture envoyée par votre téléphone. L’application affichait l’appel comme terminé, mais le flux audio restait ouvert, permettant d’entendre les bruits ambiants ou des conversations privées.
Signal a corrigé cette vulnérabilité notée 9,3 sur 10 dès le 4 septembre 2026 en modifiant la validation de la fin d’appel et en ajoutant un délai d’expiration. Les détails techniques ont été rendus publics le 20 octobre, accompagnés d’une démonstration fonctionnelle réalisée par le chercheur Ahian.
Aucune exploitation malveillante n’a été recensée avant la publication du correctif. Pour vous protéger, vérifiez que votre application Signal est bien à jour sur votre smartphone Android, votre iPhone ou votre ordinateur via l’historique des versions récentes.
Cet article a été modifié pour la dernière fois le 23 octobre 2026 11h01