Signalの通話ソフトウェアで最近公開された脆弱性により、通話を切った後も、ほかの参加者に音声を聞かれ続ける可能性があります。
この脆弱性はCVE-2026-113380（CVSSスコアは10点満点中9.3）として追跡されており、RingRTCのバージョン2.72.0より前が影響を受けます。RingRTCは、Signalの音声・ビデオ通話機能を支えるオープンソースのライブラリで、モバイル版とデスクトップ版の両アプリに通話用コンポーネントを提供しています。
問題は、Signalの通話ライブラリが通話を終了する際の処理にあります。会話の暗号化方式には影響しません。公開された脆弱性の説明によると、ほかの参加者が通話の内部イベントキューを溢れさせることで、ユーザーが通話を終了したときに接続を切断するはずの処理を妨害できる可能性があります。
最大の懸念は、通話が終わったと思った後に、意図せず音声を聞かれてしまうことです。悪意ある通話参加者がこの脆弱性を突くことに成功すれば、相手がもう共有するつもりのない音声を聞き続けられる恐れがあります。たとえば、何気ないひとり言や近くにいる人との会話、そのほかの私的な背景音などです。
脆弱性の説明には、ビデオも有効なままになる可能性があるとの記載もあります。ただし、その挙動は確認されておらず、影響を受けたユーザーの画面にどう表示されるかも説明されていません。送信が続く時間の長さについても明記されていません。
悪用が確認された事例の報告は、現時点でありません。この脆弱性が関わるのは通話の終了処理だけです。パスワードの盗難やアカウントの乗っ取り、メッセージ履歴の流出は伴わないため、パスワードのリセットは必要ありません。
対策
開発元は、通話の内部キューが満杯のときや別の終了処理が失敗したときでも、終了処理がより確実に実行されるようにコードを修正しました。
お使いの端末で、利用可能なSignalのアップデートをインストールしてください。修正は基盤となるRingRTCライブラリに含まれています。ただし、確認した情報源の範囲では、影響を受けるSignalアプリのバージョンと、最初に修正されたバージョンは、まだ公式に確認できていません。
筆者の環境では、Google Playストアでアップデートが見つかり、Androidアプリがバージョン8.32.2になりました。Apple App Storeでは見つかりませんでしたが、自動アップデートを有効にしているためかもしれません。iPadの現在のバージョンは8.32（1910）と表示されています。これで修正済みだと考えられますが、Signalのウェブサイトからは確認しにくい状況です。
筆者はSignalにメールで問い合わせており、返答があり次第、この記事を更新します。
詐欺師は、あなたが思う以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺テキストメッセージ、悪意のあるサイトなどからあなたを守ります。リアルタイムのAI搭載Scam Guardも標準で搭載しています。
