# Falha no Signal podia manter a chamada aberta depois de desligares: que versões já trazem a correção

> Um participante mal-intencionado conseguia impedir que a chamada terminasse e continuar a ouvir o que se passava do teu lado. A falha foi classificada como crítica, mas não há sinais de ataques e as versões recentes da app no Android, no iPhone e no computador já estão protegidas.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/falha-no-signal-podia-manter-a-chamada-aberta-depois-de-desligares-que-versoes
- Categoria: Segurança
- Autoria: Redação
- Publicado: 23 de outubro de 2026
- Etiquetas: Signal, Vulnerabilidades, Chamadas, Privacidade

## Em resumo

- A falha CVE-2026-113380 afeta a RingRTC, a biblioteca que o Signal usa nas chamadas de voz e vídeo, em versões anteriores à 2.72.0.
- Quem estivesse na chamada podia sobrecarregar a fila interna de eventos e impedir que o teu pedido para desligar fosse processado.
- A classificação é de 9,3 em 10, mas a encriptação das conversas não é afetada e não há registo de ataques.
- Segundo o código publicado pelo Signal, a correção está no Android desde a versão 8.27, no iPhone desde a 8.30 e no Signal Desktop desde a 8.29.
- Não é preciso mudar palavras-passe: basta instalar as atualizações pendentes da app.

Uma falha no sistema de chamadas do Signal permitia que outra pessoa continuasse a ouvir-te depois de carregares no botão para desligar. A vulnerabilidade foi registada a 20 de outubro com o identificador CVE-2026-113380 e recebeu uma classificação de 9,3 em 10, o que a coloca no nível crítico. O problema está na RingRTC, a biblioteca de código aberto que trata das chamadas de voz e vídeo nas versões da app para Android, iPhone e computador. A boa notícia é que a correção existe desde o início de setembro e já chegou às versões atuais da aplicação.

## Como funcionava a falha

Segundo a descrição oficial, um participante na chamada podia encher a fila interna de eventos que gere a ligação e, com isso, impedir que o teu pedido para desligar fosse tratado. O áudio, e talvez também o vídeo, continuava a ser transmitido enquanto pensavas que a conversa tinha acabado. Um investigador que publicou uma explicação no GitHub resume o mecanismo assim: o botão de desligar não funcionava como um corte imediato, mas como mais um evento posto no fim de uma fila que o atacante podia manter cheia.

Para isto acontecer, a pessoa do outro lado tinha de estar contigo numa chamada e provocar ela própria a sobrecarga, a partir do seu aparelho. Não se trata, portanto, de alguém de fora a escutar chamadas alheias. A Malwarebytes, que noticiou o caso a 21 de outubro, sublinha que a falha não toca na encriptação das conversas nem expõe palavras-passe, contas ou o histórico de mensagens. A agência americana de cibersegurança, a CISA, indica na análise ao registo que não há sinais de exploração.

## Que versões estão protegidas

A correção entrou na RingRTC 2.72.0, publicada pelo Signal a 4 de setembro com a descrição "garantir que as chamadas terminam por completo em casos-limite". O Signal não indicou em que versões da app chegou, mas o código que a empresa publica no GitHub permite segui-la:

- Android: a versão 8.27.0 já traz a biblioteca corrigida; a mais recente é a 8.32.2.
- iPhone e iPad: a correção aparece a partir da versão 8.30; a mais recente publicada no GitHub é a 8.33.
- Computador (Signal Desktop): incluída desde a versão 8.29.0, lançada a 1 de outubro; a atual é a 8.32.0.

Se tens as atualizações automáticas ligadas, o mais provável é que já estejas protegido. Se não, abre a Google Play ou a App Store e instala o que estiver pendente para o Signal, e no computador deixa a app reiniciar quando pedir. Não precisas de mudar a palavra-passe, nem de voltar a ligar os teus aparelhos à conta.

O investigador deixa ainda um conselho prático para quem usa versões antigas e não as pode atualizar já: depois de desligar, confirma que o indicador de chamada ativa desapareceu antes de falares de assuntos sensíveis perto do telemóvel.