Skip to content
Hacker Posts

Signal corrige RingRTC : raccrocher ne coupait pas l'appel (CVE-2026-113380)

CVE-2026-113380 (CVSS 9,3) : dans RingRTC, un attaquant sature la machine à états de l'appel et le raccrochage ne le termine plus — l'audio/vidéo peut continuer. Corrigé en 2.72.0.

Publié le 3 min de lecture
cvesignalringrtcalerte

Signal a corrigé CVE-2026-113380, une faille critique (CVSS v4.0 9,3/10) dans RingRTC, sa bibliothèque open source d'appels vocaux et vidéo. Le commit du correctif date du 4 septembre, mais la divulgation publique n'est intervenue que le 20 octobre 2026. Next et SecurityWeek ont documenté l'affaire.

Ce que fait la faille

Un attaquant peut saturer la file d'attente de la machine à états finis qui pilote un appel. Résultat : le raccrochage local ne démonte plus réellement l'appel. La session reste ouverte et la piste audio — voire vidéo — peut continuer alors que la victime croit avoir coupé. C'est un défaut de contrôle de l'état d'appel, pas une rupture de la cryptographie : le chiffrement de bout en bout n'est pas affecté. L'enjeu est la confidentialité du micro et de la caméra après un raccrochage supposé effectif.

Versions concernées

Toutes les versions de RingRTC antérieures à 2.72.0. RingRTC est embarqué dans les applications Signal (bureau et mobiles) ; la correction remonte donc via les mises à jour de l'application, pas uniquement par la bibliothèque.

Statut

  • Correctif : commit du 4 septembre. Il ajoute un indicateur de terminaison distinct, avec sa propre priorité, et plafonne à 5 secondes les attentes lors de l'arrêt de l'appel.
  • Divulgation : 20 octobre 2026.
  • Déploiement applicatif : la date exacte d'intégration dans les versions publiques n'est pas précisée ; Next indique avoir sollicité la fondation Signal, sans réponse à ce stade.

Que faire

  1. Mettez Signal à jour sur tous vos appareils (bureau, iOS, Android) vers la dernière version disponible — c'est le vecteur de correction côté utilisateur.
  2. En environnement géré, poussez la mise à jour de Signal Desktop via votre outil de déploiement plutôt que d'attendre la mise à jour manuelle.
  3. Après un appel sensible, vérifiez visuellement la fin effective de l'appel ; coupez le micro et la caméra au niveau système en cas de doute.

Contexte

La faille est moins spectaculaire que les ruptures de chiffrement qui font les gros titres, mais plus insidieuse : elle trahit l'hypothèse de base d'un appel — « je raccroche, donc on ne m'entend plus ». Le délai entre le correctif (4 septembre) et la divulgation publique (20 octobre) laisse une fenêtre où le commit était lisible sur GitHub avant l'annonce coordonnée, un rappel que, sur un projet open source, le patch est la divulgation pour qui surveille le dépôt. La priorité reste simple : installer la version qui embarque RingRTC 2.72.0 ou supérieur.

Articles liés