Signal Messenger-ում հայտնաբերվել է լուրջ խոցելիություն, որը թույլ է տվել լսել զրույցները և ստանալ տեսախցիկի ձայնագրությունները նույնիսկ այն բանից հետո, երբ օգտատերը սեղմել է զանգի ավարտի կոճակը։ Register-ը գրում է, որ խոցելիությունը կարող է թույլ տալ զրույցի մասնակիցներից մեկին ծանրաբեռնել համակարգը մեծ թվով հարցումներով: Սա կարող է հանգեցնել նրան, որ մեսենջերը չկարողանա մշակել զանգի ավարտի հրամանը, նույնիսկ եթե մյուս օգտատերը կարծում է, որ զրույցն ավարտվել է, արդյունքում՝ միկրոֆոնն ու տեսախցիկը կարող են  շարունակել տեղեկատվություն փոխանցել առանց օգտատիրոջ իմացության։

CVE-2026-113380 անունով նույնականացված և CVSS սանդղակով 9.3 միավորով գնահատված  ռիսկն ազդել է RingRTC գրադարանի վրա՝ 2.72.0-ից առաջ եղած բոլոր ծրագրային տարբերակներում։

CVSS-ը (Ընդհանուր խոցելիության գնահատման համակարգ) ծրագրային անվտանգության սխալների ծանրության գնահատման միջազգային համակարգ է: Գնահատականները տրվում են 0-ից 10 սանդղակով: Որքան բարձր է գնահատականը, այնքան ավելի վտանգավոր է հայտնաբերված սխալը:

Խոցելիության նկարագրության համաձայն՝ այն համեմատաբար հեշտ է օգտագործել հարձակման համար։ Սակայն այն ներառված չէ Կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալության (CISA) կատալոգում, որտեղ թվարկված են այն խոցելիությունները, որոնց օգտագործումը իրական հարձակումներում հաստատվել է։

Security Week-ը գրում է, որ Signal մշակողները խոցելիությունը շտկել են դեռևս 2026 թվականի սեպտեմբերին, սակայն դրա մանրամասները հրապարակվել են միայն հոկտեմբերի 20-ին: Հաստատված դեպքեր չկան, որ սխալն օգտագործվել է հսկողության համար: Օգտատերերին խորհուրդ է տրվում թարմացնել մեսինջերի վերջին տարբերակը: