Signal
Falha no Signal podia manter a chamada aberta depois de desligares: que versões já trazem a correção
Um participante mal-intencionado conseguia impedir que a chamada terminasse e continuar a ouvir o que se passava do teu lado. A falha foi classificada como crítica, mas não há sinais de ataques e as versões recentes da app no Android, no iPhone e no computador já estão protegidas.
Uma falha no sistema de chamadas do Signal permitia que outra pessoa continuasse a ouvir-te depois de carregares no botão para desligar. A vulnerabilidade foi registada a 20 de outubro com o identificador CVE-2026-113380 e recebeu uma classificação de 9,3 em 10, o que a coloca no nível crítico. O problema está na RingRTC, a biblioteca de código aberto que trata das chamadas de voz e vídeo nas versões da app para Android, iPhone e computador. A boa notícia é que a correção existe desde o início de setembro e já chegou às versões atuais da aplicação.
Como funcionava a falha
Segundo a descrição oficial, um participante na chamada podia encher a fila interna de eventos que gere a ligação e, com isso, impedir que o teu pedido para desligar fosse tratado. O áudio, e talvez também o vídeo, continuava a ser transmitido enquanto pensavas que a conversa tinha acabado. Um investigador que publicou uma explicação no GitHub resume o mecanismo assim: o botão de desligar não funcionava como um corte imediato, mas como mais um evento posto no fim de uma fila que o atacante podia manter cheia.
Para isto acontecer, a pessoa do outro lado tinha de estar contigo numa chamada e provocar ela própria a sobrecarga, a partir do seu aparelho. Não se trata, portanto, de alguém de fora a escutar chamadas alheias. A Malwarebytes, que noticiou o caso a 21 de outubro, sublinha que a falha não toca na encriptação das conversas nem expõe palavras-passe, contas ou o histórico de mensagens. A agência americana de cibersegurança, a CISA, indica na análise ao registo que não há sinais de exploração.
Que versões estão protegidas
A correção entrou na RingRTC 2.72.0, publicada pelo Signal a 4 de setembro com a descrição "garantir que as chamadas terminam por completo em casos-limite". O Signal não indicou em que versões da app chegou, mas o código que a empresa publica no GitHub permite segui-la:
- Android: a versão 8.27.0 já traz a biblioteca corrigida; a mais recente é a 8.32.2.
- iPhone e iPad: a correção aparece a partir da versão 8.30; a mais recente publicada no GitHub é a 8.33.
- Computador (Signal Desktop): incluída desde a versão 8.29.0, lançada a 1 de outubro; a atual é a 8.32.0.
Se tens as atualizações automáticas ligadas, o mais provável é que já estejas protegido. Se não, abre a Google Play ou a App Store e instala o que estiver pendente para o Signal, e no computador deixa a app reiniciar quando pedir. Não precisas de mudar a palavra-passe, nem de voltar a ligar os teus aparelhos à conta.
O investigador deixa ainda um conselho prático para quem usa versões antigas e não as pode atualizar já: depois de desligar, confirma que o indicador de chamada ativa desapareceu antes de falares de assuntos sensíveis perto do telemóvel.
