كشف سجل الثغرات الشائعة (CVE) في 20 أكتوبر 2026 عن الثغرة الحرجة (CVE-2026-113380) في مكتبة RingRTC المسؤولة عن المكالمات في تطبيق Signal؛ والتي تتيح لأحد أطراف المكالمة إغراق طابور الأحداث المرتبط بها، فتعرقل محاولة المستخدم الآخر إنهاءها من جهازه، وتظل مسارات الصوت وربما الفيديو فعالة بعد الضغط على زر الإنهاء.
توضح الوثائق التقنية المنشورة على منصة GitHub المرفقة بالسجل غياب الحد الأقصى لمعدل تدفق أحداث الطرف الآخر، وعدم منح أمر الإنهاء أولوية في طابور المعالجة. ويصنف السجل هذا الخلل ضمن فئة CWE-754 المتعلقة بالفحص غير السليم للحالات الاستثنائية، وتستند هذه الوثائق إلى نموذج نظري لطابور الأحداث دون اختبارات على مكالمات فعلية.
نالت الثغرة تقييم 9.3 وفق معيار CVSS 4.0، وهي تمثل هجوماً ينفذ عبر الشبكة بتعقيد منخفض ودون حاجة لصلاحيات مسبقة، ويتطلب تفاعلاً من الضحية. صدر هذا التقييم عن منظمة MITRE بصفتها جهة الترقيم وليس عن تطبيق Signal، وتتأثر به كافة إصدارات مكتبة RingRTC السابقة للنسخة 2.72.0.
يتوفر الإصلاح الأمني ضمن الإصدار 2.72.0، ويشير السجل إلى التزام برمجي تحت عنوان Ensure calls terminate completely in corner cases أُدرج في 4 سبتمبر 2026، قبل نشر السجل بأكثر من ستة أسابيع. تظهر مقارنة المستودع الرسمي بين الإصدارين 2.71.0 و2.72.0 إدراج هذا الالتزام ضمن تغييرات متعددة، ولا يكشف عنوانه منفرداً عن آلية معالجة الخلل.
يتضمن سجل تغييرات المكتبة السطر المذكور ذاته في قائمة الإصدار 2.72.0 دون تحديد تاريخ، وترافقه تعديلات مستقلة عن الثغرة تشمل تحديث نسخة WebRTC وإضافة إحصاءات حول معدل الإطارات ودقة الصورة. وجرى تسجيل معرف الثغرة وحجزه ونشره في اليوم نفسه، 20 أكتوبر، بينما سبقه الإصلاح بأسابيع.
تغيب أي أدلة على استغلال فعلي للثغرة في مراجع السجل. ويصنف تقييم وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) المرفق بالسجل في 20 أكتوبر الاستغلال بغير الموجود، ويؤكد عدم قابلية الهجوم للأتمتة مع تحقق الأثر الفني بالكامل، وتغيب الثغرة عن فهرس الثغرات المستغلة فعلياً (KEV) وفق مراجعة في 22 أكتوبر، كما لا يطرح السجل أي حلول مؤقتة.
كما تخلو مراجع السجل من أي نشرة أمنية رسمية صادرة عن Signal، ولا تحدد أرقام إصدارات التطبيق على أنظمة Android وiOS وسطح المكتب التي تتضمن النسخة الآمنة RingRTC 2.72.0. تؤكد الوثائق التقنية تأثر تطبيقات Signal على المنصات الثلاث بانتظار تحديث يدمج الإصلاح. وقد تواصلت منصة The Register مع Signal للحصول على تعليق دون تلقي رد حتى موعد نشر تقريرها في 21 أكتوبر، ولم يوضح السجل النطاق الفعلي لما يراه أو يسمعه الطرف الآخر إبان بقاء المكالمة مفتوحة.
توصي الوثائق التقنية بضرورة تحديث المكتبة، ومراقبة اختفاء مؤشر الميكروفون بعد إنهاء المكالمات، وتقترح هيكلياً منح أحداث التحكم الحرجة مساراً يحظى بأولوية التنفيذ.
