Lỗ hổng Signal có thể khiến mic và camera vẫn hoạt động sau khi kết thúc cuộc gọi
"A vulnerability (CVE-2026-113380) in Signal's RingRTC library, prior to version 2.72.0, could prevent calls from terminating properly, potentially leaving audio and video streams active. This is due to a denial-of-service condition affecting the library's event queue. Updating to version 2.72.0 or later resolves the issue by improving state machine handling and adding a timeout."
Lỗ hổng này có thể dẫn đến việc lộ dữ liệu âm thanh và hình ảnh cá nhân hoặc nhạy cảm, gây ảnh hưởng đến quyền riêng tư của người dùng. Việc khai thác thành công có thể cho phép kẻ tấn công theo dõi cuộc trò chuyện sau khi cuộc gọi đã kết thúc.
Các doanh nghiệp sử dụng Signal có thể đối mặt với rủi ro về mất uy tín và vi phạm dữ liệu nếu lỗ hổng này bị khai thác. Việc cập nhật ứng dụng kịp thời là cần thiết để bảo vệ thông tin bí mật và đảm bảo an toàn thông tin liên lạc.
Signal vừa xác nhận lỗ hổng bảo mật (CVE-2026-113380) trong thư viện RingRTC, ảnh hưởng đến các phiên bản trước 2.72.0. Lỗ hổng này có thể khiến cuộc gọi không kết thúc đúng cách, dẫn đến việc micro và camera vẫn hoạt động sau khi người dùng đã ngắt kết nối.
RingRTC là thư viện gọi điện do Signal tự phát triển, dựa trên công nghệ WebRTC (một tiêu chuẩn cho giao tiếp âm thanh và video trên internet). Lỗ hổng xảy ra do tình trạng quá tải hàng đợi sự kiện (event queue) của máy trạng thái hữu hạn (finite state machine - FSM) trong RingRTC. Khi một bên trong cuộc gọi gửi quá nhiều yêu cầu, hàng đợi có thể bị tràn, ngăn chặn việc xử lý yêu cầu kết thúc cuộc gọi.
Theo báo cáo, độ phức tạp của cuộc tấn công này được đánh giá là thấp. Mặc dù chưa có bằng chứng cho thấy lỗ hổng này đang bị khai thác ngoài thực tế, Signal khuyến cáo người dùng cập nhật ứng dụng lên phiên bản mới nhất (2.72.0 trở lên) trên cả thiết bị di động và máy tính để đảm bảo an toàn. Bản cập nhật này cải thiện cách xử lý trạng thái cuộc gọi và thêm cơ chế timeout để ngăn chặn tình trạng treo.
Signal đã phát hành bản sửa lỗi trong tháng 9, nhưng thông tin về lỗ hổng chỉ được công bố gần đây. Hiện tại, chưa rõ thời điểm chính xác bản cập nhật có sẵn trên các nền tảng Android, iOS và Desktop. Bạn có thể xem thêm chi tiết về lỗ hổng tại CVE-2026-113380.
Câu hỏi thường gặp
CVE-2026-113380 là gì?
CVE-2026-113380 là mã định danh cho một lỗ hổng bảo mật trong thư viện RingRTC của Signal, có thể khiến cuộc gọi không kết thúc đúng cách và micro/camera vẫn hoạt động.
Phiên bản Signal nào bị ảnh hưởng?
Các phiên bản Signal trước 2.72.0 đều bị ảnh hưởng bởi lỗ hổng này. Bản cập nhật 2.72.0 đã khắc phục sự cố.
Người dùng cần làm gì để bảo vệ mình?
Người dùng nên cập nhật ứng dụng Signal lên phiên bản mới nhất (2.72.0 trở lên) trên tất cả các thiết bị để đảm bảo an toàn.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Signal cho liên lạc nội bộ hoặc với khách hàng. Việc cập nhật lên phiên bản mới nhất là cần thiết để tránh rủi ro lộ thông tin nhạy cảm. Điều đáng chú ý là, mặc dù chưa có báo cáo về việc khai thác lỗ hổng này, nhưng nguy cơ vẫn tồn tại. Các doanh nghiệp nên kiểm tra và cập nhật ứng dụng Signal trên tất cả các thiết bị.