Messenger-Fail: Signal-Bug macht Anhören möglich, Update gestartet

Ein Softwarefehler in Signal könnte dazu führen, dass das Mikrofon und die Kamera nach dem Auflegen weiter eingeschaltet bleiben. Angreifer könnten so Gespräche belauschen, obwohl der Anruf beendet scheint. Ein rettendes Update steht bereits bereit.

Kritischer Fehler bei Anrufen

Die Schwachstelle CVE-2026-113380 betrifft die Art, wie die Anwendung Verbindungen abbaut. Wenn ein Nutzer auflegt, kann die Gegenseite das blockieren. Das Problem gilt mit einem CVSS-Wert von 9,3 als kritisch.

Ursache ist die Open-Source-Bibliothek RingRTC, welche die Sprach- und Videofunktionen steuert. Sie basiert auf der im Jahr 2011 eingeführten WebRTC-Technologie. Ein Angreifer kann durch eine Flut an Anfragen die interne Warteschlange überlasten. Dadurch läuft die Audioübertragung unbemerkt weiter, während das Opfer glaubt, der Anruf sei bereits beendet.

Eingebauter Schutz unter Android

Wie about signal unter Berufung auf einen Signal-Sprecher berichtet, ließ sich das fehlerhafte Verhalten ausschließlich unter dem mobilen Betriebssystem Android reproduzieren. Um den Fehler auszunutzen, müsste ein Angreifer zwingend an einem aktiven Anruf mit dem Opfer teilnehmen.

Da Signal standardmäßig Anrufe von unbekannten Kontakten blockiert, setzt ein Angriff voraus, dass die Personen bereits über eine akzeptierte Nachrichtenanfrage verbunden sind oder sich in einem Gruppenchat befinden. Diese Schutzfunktion ist bereits seit vielen Jahren Teil der Anwendung und erschwert eine einfache Ausnutzung deutlich.

Zusätzlich zeigt Android in der Statusleiste an, wenn eine Anwendung auf das Mikrofon oder die Kamera zugreift. Anwender könnten daran erkennen, dass Hardwarekomponenten weiterhin aktiv sind. Berichte über Angriffe gibt es bislang nicht.

Patch steht bereit

Die Entwickler haben die fehlerhafte Bibliothek aktualisiert. Das System verarbeitet den Auflege-Befehl nun unabhängig von der Ereigniswarteschlange. Zudem verhindert ein neues Zeitlimit, dass blockierte Prozesse die Beendigung eines Gesprächs dauerhaft aufhalten. Das schließt die Lücke in den internen Abläufen der Software.

Die Fehlerbehebung ist in der Signal-Version 8.27 für Android enthalten, die bereits verteilt wird. Im Rahmen des wöchentlichen Zyklus wurde die Anwendung inzwischen auf Version 8.33 aktualisiert. Signal rät, die App auf allen Geräten auf dem neuesten Stand zu halten.

Habt ihr schon einmal bemerkt, dass eine App ungewollt euer Mikrofon aktiviert hat? Teilt eure Erfahrungen in den Kommentaren mit uns!

Download Signal - Krypto-Messenger für Windows Siehe auch: