Você toca em “desligar”, a tela mostra que a chamada acabou, mas o microfone continua aberto. Foi esse o risco de uma falha crítica no Signal, que o aplicativo já corrigiu.
O desligar que não desligava
A falha, registrada como CVE-2026-113380 e com nota 9,3 de 10, estava no RingRTC, a biblioteca de código aberto que o Signal usa para chamadas de voz e vídeo. O SecurityWeek explica a causa: o pedido de desligar era tratado como um evento comum numa fila interna da chamada, sem prioridade e sem limite para eventos vindos do outro lado.
O ataque, então, era inundar essa fila com lixo. O pedido de encerrar ficava esperando atrás do ruído, como descreve um pesquisador em texto publicado no GitHub, que a reportagem não identifica. O resultado: o invasor poderia manter ativos o microfone e, possivelmente, a câmera do aparelho enquanto a vítima achava que a ligação tinha terminado.
Já foi corrigido
A correção está no RingRTC 2.72.0, lançado em 4 de setembro. Agora o pedido de encerrar não fica preso na fila e é detectado de forma independente. Os detalhes e uma prova de conceito foram divulgados em uma terça-feira, e o governo americano registrou a falha no banco de vulnerabilidades no mesmo dia. A reportagem não diz que a falha tenha sido explorada em ataques reais.
Como se proteger
- Atualize o Signal no celular e no computador. É a única medida que resolve.
- Olhe o indicador de uso do microfone do Android ou do iPhone depois de uma chamada. Se ele continuar aceso, feche o aplicativo.
- Desconfie de chamadas de números desconhecidos no Signal e em qualquer outro aplicativo. A falha exigia que alguém ligasse para você.
- Ative as atualizações automáticas dos aplicativos na loja do seu celular.
