В Signal исправляют критическую ошибку завершения звонков
В мессенджере Signal раскрыта критическая уязвимость CVE-2026-113380 с оценкой CVSS 9,3: злоумышленник мог препятствовать завершению аудио- и видеозвонка после действия пользователя. Ошибка затрагивает библиотеку RingRTC, на которой работают звонки Signal, и все клиенты сервиса для Android, iOS и настольных систем.
Как работала ошибка Signal
RingRTC использует WebRTC для голосовой и видеосвязи. Исследователь под псевдонимом Imahian описал проблему как недостаток обработки событий в конечном автомате вызова: локальное завершение разговора помещалось в общую очередь, а не становилось безусловной командой остановки.
Удалённый собеседник мог посылать поток событий и удерживать команду завершения в конце очереди. В таком сценарии вызов не сворачивался, а аудиодорожка и потенциально видеодорожка продолжали работать. В описании подчёркивается, что у событий от удалённой стороны не было ограничения частоты и отдельного приоритетного пути для команды отключения.
Риск касается именно ситуации со злонамеренным участником звонка. Для пользователей и администраторов это очередное напоминание, что интерфейсное подтверждение завершения разговора не всегда означает немедленное освобождение доступа к микрофону и камере на уровне приложения.
Другие критические инциденты недели
Laravel выпустил исправления для CVE-2026-114509 в TokenGuard, оценённой в CVSS 9,2. При определённых конфигурациях MySQL или MariaDB специально сформированное нестроковое значение учётных данных могло привести к сопоставлению с непредназначенной записью пользователя. Уязвимость позволяла пройти аутентификацию без действительного API-токена на маршрутах, защищённых этим механизмом.
Патчи доступны в Laravel 13.29.0 и 12.68.0. Командам, использующим TokenGuard, следует сверить версии развёрнутых приложений и оценить, какие API-маршруты защищены уязвимым механизмом.
Платформа разработки Zeabur сообщила, что после второй кибератаки прекратит работу: отключение сервисов начнётся 1 декабря 2026 года и должно завершиться до конца месяца. По заявлению компании, атакующие использовали утёкшие внутренние учётные данные, получили доступ к общей инфраструктуре и внутренним системам, а затем прочитали базу платформы.
В результате были раскрыты более 3,2 млн записей переменных окружения и сведения о 321 810 аккаунтах. Zeabur указала, что внутренние данные доступа хранились в открытом виде; в августе компания уже сообщала о несанкционированном доступе и краже данных учётных записей, API-ключей и других секретов.
Что проверить организациям
Практический вывод для бизнеса — не откладывать обновления коммуникационных и серверных компонентов, инвентаризировать сервисные учётные записи и исключать хранение секретов в открытом виде. Для средств связи важно проверять не только работу кнопки завершения вызова, но и фактическое отключение медиаустройств после неё.