L'appel est terminé. Le micro, peut-être pas.
CVE-2026-113380 porte un score de gravité de 9,3 sur 10, ce qui reste élevé même sur une échelle qui distribue volontiers de gros chiffres. Ce qu'elle décrit est inquiétant à sa manière discrète. Les appels de Signal reposent sur une bibliothèque libre appelée RingRTC, et à l'intérieur se trouve une file d'attente pouvant contenir jusqu'à 256 événements. Une autre personne présente dans l'appel peut saturer cette file. Votre "raccrocher" n'est qu'un événement de plus : il attend derrière l'inondation, arrive en retard, ou n'arrive jamais. La fenêtre d'appel se ferme. La piste audio, et peut-être la piste vidéo, reste active.
Plusieurs éléments méritent d'être remis à leur juste place. Le chiffrement n'est pas touché, personne ne lisait donc vos messages et personne n'a besoin de changer de mot de passe. Rien n'indique que la faille ait été utilisée contre qui que ce soit. Et il ne s'agit pas d'un inconnu sur internet : celui qui y parvient doit déjà se trouver dans l'appel avec vous, ce qui ramène le cas réaliste à quelqu'un qui s'est invité dans un appel de groupe. Le correctif de Signal, validé le 4 septembre par l'un de ses développeurs, ajoute un indicateur de fin distinct que la machinerie d'appel vérifie de son côté, ainsi qu'une limite de cinq secondes sur l'arrêt pour que la fermeture se termine même en cas de blocage.
La correction est arrivée dans RingRTC 2.72.0 et dans les versions de Signal construites dessus. Signal n'a pas publié de tableau précis des versions clientes concernées, donc la réponse pratique consiste à mettre à jour l'application partout où vous l'utilisez. Téléphone, tablette, et surtout le client de bureau Windows, que l'on oublie parce qu'il tourne tranquillement en arrière-plan pendant des mois.
Garder les applications de bureau à jour est exactement la corvée ennuyeuse que ce genre de bogue sanctionne. Le gestionnaire de mises à jour de Tendvane compare ce qui est installé à winget et met tout à niveau en une seule passe, Signal Desktop compris.