Das Gespräch war beendet. Das Mikrofon vielleicht nicht.

CVE-2026-113380 trägt einen Schweregrad von 9,3 von 10, was selbst auf einer Skala, die mit großen Zahlen großzügig umgeht, hoch ist. Was sie beschreibt, ist auf eine leise Weise beunruhigend. Signals Anrufe laufen über eine quelloffene Bibliothek namens RingRTC, und darin steckt eine Warteschlange für bis zu 256 Ereignisse. Eine andere Person im Gespräch kann diese Schlange überfluten. Ihr "Auflegen" ist nur ein weiteres Ereignis: Es wartet hinter der Flut, kommt verspätet an oder gar nicht. Das Anruffenster schließt sich. Die Tonspur, womöglich auch die Videospur, bleibt aktiv.

Einiges gehört in die richtige Größenordnung gerückt. Die Verschlüsselung bleibt unangetastet, niemand hat also Ihre Nachrichten mitgelesen, und niemand muss ein Passwort ändern. Es gibt keine Hinweise darauf, dass die Lücke gegen irgendjemanden eingesetzt wurde. Und es handelt sich nicht um einen Fremden im Internet: Wer das schafft, muss bereits mit Ihnen im Gespräch sein, womit der realistische Fall auf jemanden zusammenschrumpft, der sich in einen Gruppenanruf hineingeredet hat. Signals Korrektur, am 4. September von einem seiner Entwickler eingecheckt, ergänzt ein eigenes Abbruchkennzeichen, das die Anruflogik unabhängig prüft, dazu eine Fünf-Sekunden-Grenze für das Herunterfahren, damit der Abbau auch dann endet, wenn etwas klemmt.

Die Korrektur steckt in RingRTC 2.72.0 und den darauf aufbauenden Signal-Versionen. Signal hat keine saubere Tabelle veröffentlicht, welche Client-Versionen sie genau enthalten, also lautet die praktische Antwort: Aktualisieren Sie die App überall dort, wo Sie sie nutzen. Telefon, Tablet und vor allem der Windows-Desktop-Client, den man vergisst, weil er monatelang still im Hintergrund läuft.

Desktop-Anwendungen aktuell zu halten ist genau die langweilige Pflicht, die ein solcher Fehler bestraft. Tendvanes App-Aktualisierung gleicht das Installierte mit winget ab und bringt alles in einem Durchgang auf Stand, Signal Desktop eingeschlossen.