Le bouton de raccrochage de Signal présentait un angle mort critique

Une faille critique dans l'infrastructure d'appel de Signal, spécifiquement au sein de sa bibliothèque RingRTC, pouvait empêcher les appels de se terminer complètement, laissant le flux audio — et potentiellement vidéo — actif pour l'autre participant. Les utilisateurs appuyant sur le bouton de raccrochage pouvaient croire que l'appel était terminé, alors que leur microphone et leur caméra restaient actifs. Cette vulnérabilité, répertoriée sous le nom CVE-2026-113380 avec un score CVSS 4.0 de 9,3 (Critique), exposait à un risque de surveillance silencieuse.

L'exploitation nécessitait qu'un attaquant soit déjà en communication ; il ne s'agissait pas d'un mécanisme permettant à des inconnus d'initier une écoute clandestine ou de compromettre largement les comptes Signal. La portée du bug était strictement limitée à la clôture de l'appel, ce qui signifie que les messages Signal, l'infrastructure des comptes et son robuste chiffrement de bout en bout restaient intacts. Il n'existe aucune preuve suggérant que cette faille ait été exploitée dans la nature.

Le problème sous-jacent provenait de la file d'attente de la machine à états finis (FSM) de RingRTC, qui manquait de limitation de débit pour les événements entrants des pairs et d'une voie prioritaire pour les signaux de terminaison. Un attaquant pouvait saturer cette file d'attente, bloquant l'événement de raccrochage local et maintenant les flux multimédias actifs. Signal a résolu le problème le 4 septembre, en intégrant un correctif pour garantir la terminaison complète des appels, suivi de déploiements silencieux sur les clients Android, iOS et Desktop avant que la CVE ne soit publiquement attribuée le 20 octobre.

La bibliothèque d'appels open-source de Signal, RingRTC, alimentait ses appels vocaux et vidéo sur Android, iOS et ordinateur. La cause signalée de cette faille critique, répertoriée sous CVE-2026-113380, était centrée sur la file d'attente d'événements de la machine à états finis bornée de RingRTC, qui avait une capacité de 256 entrées.

Cette conception a créé un angle mort critique. Les événements générés par les pairs pouvaient facilement saturer la file d'attente, tandis qu'un raccrochage local — l'utilisateur appuyant sur le bouton rouge — n'avait aucune priorité. Au lieu de cela, l'événement de terminaison attendait dans la file derrière les événements d'appel ordinaires, incapable de forcer une clôture immédiate.

Si le processus de fermeture stagnait, le flux du microphone, et potentiellement celui de la caméra, restaient actifs pour l'autre participant. Un pair distant pouvait effectivement empêcher un appel de se terminer complètement, laissant l'audio et la vidéo circuler. Cette vulnérabilité a obtenu un score CVSS 4.0 de 9,3, signalant sa gravité critique. Bien qu'alarmant, il n'existe aucune preuve d'exploitation dans la nature, et la faille nécessitait qu'un participant actif la déclenche.

Signal a intégré un correctif à RingRTC le 4 septembre, avec une entrée de journal des modifications remarquablement discrète : « assurer la terminaison complète des appels dans les cas limites ». Ce correctif, qui a ajouté une gestion indépendante de la fermeture et un délai d'expiration strict, a été déployé sur les versions Android, iOS et ordinateur au cours des semaines suivantes. Bien que cette mise à jour silencieuse puisse soulever des questions sur la transparence, ce n'est pas une preuve de mauvaise foi ; le déploiement rapide et non annoncé de correctifs pour des vulnérabilités critiques est une pratique courante avant la divulgation publique.

L'image complète est apparue le 20 octobre, lorsque la CVE-2026-113380 est devenue publique. Cette vulnérabilité critique (CVSS 9,3) a confirmé la gravité de la faille de raccrochage, validant le déploiement silencieux. RingRTC 2.72.0 et les versions ultérieures de Signal contiennent la remédiation, empêchant une file d'attente saturée de bloquer les événements de terminaison. Pour plus de détails techniques sur la bibliothèque, consultez le dépôt signalapp/ringrtc sur GitHub.

Les utilisateurs doivent mettre à jour Signal immédiatement sur toutes les plateformes — Android, iPhone et ordinateur — pour s'assurer que leurs appels se terminent réellement lorsqu'ils appuient sur ce bouton rouge. Bien qu'il n'y ait aucune preuve d'exploitation dans la nature et que le problème ne concernait que les participants actifs à un appel, cet incident souligne un défi récurrent dans la communication en temps réel : créer une fonction de raccrochage fiable est plus difficile qu'il n'y paraît. FaceTime et Google Duo ont rencontré des problèmes similaires.

Cet épisode de RingRTC offre un rappel frappant : la fin d'un appel est une transition d'état étonnamment complexe et critique pour la sécurité. Cela fait écho à des incidents passés où des applications de communication ont trébuché sur la ligne d'arrivée, ou même avant le début de la course. En 2019, FaceTime d'Apple a souffert d'une faille critique qui exposait l'audio de l'appareil d'un destinataire avant qu'il ne réponde, forçant Apple à désactiver Group FaceTime jusqu'à ce que le problème soit résolu.

La même année, le Project Zero de Google a identifié des vulnérabilités de connexion d'appel dans Signal pour Android, Google Duo et Facebook Messenger. Ces bugs antérieurs permettaient aux appelants de forcer les connexions. Cette faille de RingRTC, cependant, représente un problème distinct : un échec de déconnexion où le bouton de raccrochage, conçu comme un interrupteur d'arrêt définitif, était neutralisé par une file d'attente d'événements surchargée.

La leçon d'ingénierie est claire : la configuration et l'arrêt sont des phases très vulnérables dans les protocoles de communication en temps réel. Les pairs distants peuvent générer des événements, souvent de manière imprévisible, et ces événements ne doivent pas entraver les fonctions de sécurité critiques. Les développeurs doivent traiter la fonction de raccrochage comme un interrupteur d'arrêt protégé et hautement prioritaire. Les utilisateurs, à leur tour, devraient prendre l'habitude de vérifier les indicateurs de microphone et de caméra de leur appareil mobile après chaque appel, en s'assurant que la conversation est réellement terminée.

Quelle était la vulnérabilité des appels Signal ?

Une faille dans RingRTC pouvait permettre à quelqu'un déjà en communication d'inonder sa file d'attente d'événements et d'empêcher le raccrochage d'un utilisateur de mettre fin complètement à l'appel.

Un inconnu pouvait-il utiliser le bug d'appel de Signal pour écouter ?

Non. La faille exigeait qu'un attaquant soit déjà participant à un appel actif ; elle ne permettait pas à des tiers extérieurs d'écouter les conversations.

Les messages ou le chiffrement de Signal ont-ils été affectés ?

Non. Le problème signalé concernait la déconnexion des appels et les flux multimédias, et non le chiffrement des messages, les comptes ou les bases de données de Signal.

Comment les utilisateurs de Signal peuvent-ils se protéger ?

Mettez à jour Signal sur chaque appareil vers la dernière version disponible. Sur mobile, vérifiez les indicateurs de confidentialité du microphone et de la caméra après avoir terminé un appel.