NIEUWS

IN HET KORT: Een kritieke kwetsbaarheid in Signal kan de microfoon aan laten staan na het ophangen. Mogelijk blijft ook de camera actief. Het lek heet CVE-2026-113380 en scoort 9,3 op 10. Signal heeft het probleem in september al verholpen. De details zijn pas deze week openbaar gemaakt. Installeer daarom de nieuwste Signal-update.

Wat is er aan de hand?

De fout zit in RingRTC. Dat is de softwarebibliotheek achter Signal-gesprekken. RingRTC is gebouwd op WebRTC. Signal gebruikt de bibliotheek voor spraak- en videobellen. Dat geldt voor mobiele apps en desktop.

Het ophangen werkt in RingRTC niet als noodstop. Het ophangsignaal komt achteraan een wachtrij. Die wachtrij hoort bij een zogeheten finite state machine (FSM). Dat onderdeel regelt de gebeurtenissen tijdens een gesprek.

Hoe werkt de aanval?

De aanval vraagt een kwaadwillende deelnemer aan het gesprek. Die stuurt veel nutteloze gebeurtenissen naar het slachtoffer. De wachtrij raakt overvol. Het ophangsignaal wordt daardoor nooit verwerkt. Het gesprek wordt niet netjes afgesloten. De microfoon blijft open staan.

Volgens de technische beschrijving ontbreekt een limiet op gebeurtenissen van de andere kant. Ook is er geen voorrangsbaan voor het ophangsignaal.

Wat betekent dit voor jou?

De aanvaller kan mogelijk geluid blijven horen. Dat kan ook achtergrondgeluid zijn. Het gaat dan om gesprekken nadat jij denkt dat het gesprek is afgelopen. Of de camera ook actief blijft, is niet bevestigd. De officiële beschrijving zegt daar niets zekers over.

Dit is geen aanval op de versleuteling van Signal. De end-to-end-encryptie is niet gebroken. Het probleem zit in het afsluiten van het gesprek.

Hoe is het verholpen?

Signal-ontwikkelaar “jim-signal” maakte de oplossing op 4 september 2026. De oplossing zit in RingRTC 2.72.0. Signal rolde die versie in september uit. De fout werd pas deze week openbaar. MITRE publiceerde de details op 20 oktober.

De fix doet twee dingen:

De FSM herkent een ophangverzoek nu los van de wachtrij.

Een time-out voorkomt dat vastgelopen verwerking het ophangen blokkeert.

Welke Signal-versies zijn veilig?

Bronnen verschillen hier. Een Italiaans CSIRT-advies noemt deze getroffen appversies:

Signal voor Android: vóór 8.27.0.

Signal voor iOS: vóór 8.30.0.

Signal Desktop: vóór 8.29.0.

Andere bronnen zeggen dat de getroffen appversies niet zijn bevestigd. Signal heeft ook geen uitrolsdata per platform bevestigd. Installeer daarom op elk apparaat de nieuwste versie. Vertrouw niet alleen op het versienummer van de bibliotheek.

Wat kun je nu doen?

Update Signal op je telefoon, tablet en computer.

Controleer na elk gesprek of de microfoonindicator is verdwenen.

Op Android en iOS toont het scherm bovenin een microfoon- of camera-indicator.

Op Windows verschijnt een melding van de camera. Een microfoonicoon staat dan in het systeemvak.

Blijft de indicator aan? Trek de toegang van Signal tot microfoon en camera in.

Praat niet over gevoelige zaken vlak na een gesprek, tot je bent bijgewerkt.

Organisaties kunnen extra stappen nemen:

Laat medewerkers de nieuwste versie controleren vóór gevoelige gesprekken.

Behandel niet-geverifieerde installaties als mogelijk kwetsbaar.

Is er een proof-of-concept?

Ja, in Python. Het is een offline demonstratie. Het is geen werkende aanval op Signal. Het script bewijst ook geen misbruik in de praktijk. Dat geldt ook voor de openbaarmaking zelf. Die betekent niet dat aanvallers het lek al gebruiken.

Veelgestelde vragen

Wat is CVE-2026-113380?
Een kritiek lek in Signals belbibliotheek RingRTC. Het kan het ophangen blokkeren.

Kan iedereen mijn microfoon aanzetten?
Nee. De aanvaller moet deelnemen aan een gesprek met jou.

Is Signals versleuteling gebroken?
Nee. Het lek raakt het afsluiten van gesprekken en niet de encryptie.

Blijft ook de camera aan?
Dat kan mogelijk. De officiële beschrijving bevestigt het niet.

Is het lek al misbruikt?
Bronnen melden geen misbruik in het wild.

Hoe los ik het op?
Installeer de nieuwste Signal-update. Controleer daarna of de indicatoren uitgaan.

---------------------------------------------------------------------------------------------------------------------------------------------------------------------

Bronnen

• Security.NL: Kritiek Signal-lek houdt microfoon ingeschakeld

• Security Affairs: Signal vulnerability could keep calls alive