Rozmowa się skończyła. Mikrofon być może nie.

CVE-2026-113380 ma ocenę istotności 9,3 na 10, co jest dużo nawet na skali, która hojnie rozdaje wysokie liczby. To, co opisuje, niepokoi po cichu. Połączenia Signala działają na otwartej bibliotece RingRTC, a w środku znajduje się kolejka mieszcząca do 256 oczekujących zdarzeń. Inna osoba w rozmowie może ją zalać. Twoje "rozłącz" to tylko kolejne zdarzenie: czeka w kolejce za zalewem, dociera z opóźnieniem albo nie dociera wcale. Okno połączenia się zamyka. Ścieżka dźwiękowa, a może i obraz, pozostaje żywa.

Kilka rzeczy warto ustawić we właściwych proporcjach. Szyfrowanie pozostaje nienaruszone, nikt więc nie czytał twoich wiadomości i nikt nie musi zmieniać hasła. Nic nie wskazuje, by luka była przeciw komukolwiek wykorzystana. I nie chodzi o obcego z internetu: ten, kto to robi, musi już być w rozmowie z tobą, co sprowadza realny scenariusz do kogoś, kto wprosił się na połączenie grupowe. Poprawka Signala, zatwierdzona 4 września przez jednego z deweloperów, dodaje osobny znacznik zakończenia, sprawdzany przez mechanizm połączenia niezależnie, oraz pięciosekundowy limit na zamykanie, by sprzątanie dobiegło końca nawet wtedy, gdy coś się zatnie.

Naprawa trafiła do RingRTC 2.72.0 i do wydań Signala zbudowanych na tej wersji. Signal nie opublikował schludnej tabeli z numerami wersji klienta, więc praktyczna odpowiedź brzmi: zaktualizuj aplikację wszędzie, gdzie jej używasz. Telefon, tablet, a zwłaszcza klient na pulpit Windows, o którym się zapomina, bo spokojnie pracuje w tle miesiącami.

Utrzymywanie aplikacji na pulpicie w aktualnej wersji to dokładnie ten nudny obowiązek, który taki błąd karze. Aktualizator aplikacji Tendvane porównuje to, co masz zainstalowane, z winget i podnosi wszystko w jednym przebiegu, razem z Signal Desktop.