Signal'in sesli ve görüntülü aramalarını yürüten açık kaynak kütüphane RingRTC'de, kullanıcı aramayı kapattığında görüşmedeki karşı tarafın aramanın tam sonlanmasını engelleyebildiği bir açık 20 Ekim 2026'da CVE-2026-113380 numarasıyla kayda geçti. CVE kaydına göre bu durumda aramanın sesi, belki de görüntüsü kesilmeyebiliyordu. Signal açığı 4 Eylül 2026'da RingRTC 2.72.0 ile düzeltti; Signal'in GitHub'daki uygulama depolarına göre düzeltme Android'de 8.27.0, masaüstünde 8.29.0, iOS'ta 8.30.0 sürümüyle geldi. Açığın gerçek saldırılarda kullanıldığına dair bilinen bir bilgi yok.
Açık nasıl çalışıyordu
CVE (açıklara verilen uluslararası takip numarası) kaydına göre RingRTC'nin 2.72.0 öncesi sürümlerinde, görüşmedeki karşı taraf aramanın iç işlem sırasını doldurarak kapatma sürecini aksatabiliyordu. Bu durumda kullanıcı aramayı kapatsa da ses ve belki görüntü aktarımı kesilmeyebiliyordu; aktarımın ne kadar sürebileceği kayıtta yer almıyor. CVE kaydını oluşturan MITRE, açığa CVSS (açıkların önem puanı, 10 üzerinden) ölçeğinde 9,3 (kritik) puan verdi; NVD ise kendi analizini henüz yapmadı. Malwarebytes'e göre açık aramanın kapatılma sürecini ilgilendiriyor, Signal'in görüşmeleri şifreleme biçimini etkilemiyor.
Hangi sürümlerde düzeltildi
RingRTC'nin 2.72.0 öncesi sürümleri etkileniyor. Signal düzeltilmiş uygulama sürümlerini ayrıca duyurmadı; Malwarebytes de bunların kamuya açık biçimde doğrulanmadığını yazmıştı. Signal'in GitHub'daki uygulama depolarına göre RingRTC 2.72.0'ı içeren ilk sürümler şunlar:
- Android: 8.27.0. AboutSignal'e göre bu sürümün dağıtımı 9 Eylül 2026'da başladı.
- Masaüstü (Windows, macOS, Linux): 8.29.0. Tam sürüm 2 Ekim 2026'da yayımlandı.
- iOS: 8.30.0. App Store'a çıkış tarihi kaynaklarda yer almıyor.
Signal ne diyor
Signal'in resmi blogunda veya destek sayfasında bu güvenlik açığına dair yayımlanmış yazılı bir açıklama bulunmuyor. The Register, konuya ilişkin yönelttiği sorulara Signal tarafından bir yanıt alamadığını bildirdi. Signal haberleri yapan bağımsız site AboutSignal'in aktardığına göre Signal sözcüsü, hatanın yalnızca Signal'in Android uygulamasında yeniden üretilebildiğini söyledi. AboutSignal'e göre açığı kullanmak için saldırganın önce kurbanla görüşmede olması gerekiyor. Signal'in mesaj isteği sistemi tanımadığınız kişilerden gelen aramaları otomatik olarak engellediği için saldırganın mesaj isteğinin daha önce kabul edilmiş olması ya da kurbanla aynı grupta bulunması gerekiyor.
Türkiye açısından
Açık belirli bir ülkeye değil, yüklü uygulama sürümüne bağlı. Türkiye'de Signal'i 8.27.0 öncesi bir Android sürümüyle kullananlar kapsamda bulunuyor. Siber Güvenlik Başkanlığı'nın (SGB) güvenlik bildirimlerinde 1 Kasım 2026 itibarıyla Signal ile ilgili bir kayıt yok; Türkiye'den etkilenen bir kullanıcı da bildirilmedi. SGH aynı gün Telegram'ın Android uygulamasındaki sesli arama açığı haberini de yayımladı; o açık başka bir uygulamada ve gelen aramayı yanıtlama anındaydı, Signal'deki açık ise aramayı kapatma anını ilgilendiriyor.
Ne yapmalısınız
- Signal uygulamasını Google Play, App Store veya resmi masaüstü kanalları üzerinden güncelleyin; sürümün Android'de en az 8.27.0, masaüstünde 8.29.0, iOS'ta 8.30.0 olduğunu teyit edin.
- Hemen güncelleyemiyorsanız, SecurityWeek'in önerdiği gibi aramayı kapattıktan sonra arama göstergesinin kaybolduğunu kontrol edin.
- Android'de uygulama mikrofonu ya da kamerayı kullanırken durum çubuğunda gösterge çıkar; AboutSignal'e göre bu gösterge beklenmedik bir kullanımı fark etmenize yardımcı olabilir.
- Tanımadığınız kişilerden gelen mesaj isteklerini kabul etmeyin; AboutSignal'e göre saldırganın sizi arayabilmesi için bu isteğin kabul edilmiş olması gerekiyor.
1 Kasım 2026 itibarıyla açığın gerçek saldırılarda kullanıldığına dair bilinen bir bilgi yok. ABD siber güvenlik ajansı CISA'nın kayıttaki değerlendirmesinde istismar «yok» olarak görünüyor; açık, CISA'nın gerçek saldırılarda kullanılan açıklar kataloğunda (KEV) da yer almıyor. Görüntünün gerçekten açık kalıp kalmadığı ve aktarımın ne kadar sürebileceği açıklanmadı.
Kaynaklar
- NVD — CVE-2026-113380 kaydı (kaynak: MITRE, 20 Ekim 2026)
- Signal — RingRTC düzeltmesi «Ensure calls terminate completely in corner cases» (GitHub, 4 Eylül 2026)
- The Register — Signal bug could keep your mic - and camera - on after hangup (21 Ekim 2026)
- SecurityWeek — Signal Vulnerability Lets Malicious Callers Block Hang-Ups (22 Ekim 2026)
- AboutSignal — Signal fixes bug that could affect ending calls on Android (26 Ekim 2026)
Kapak görseli (temsili): «Hand-smartphone-technology-calling» — CC0, Wikimedia Commons (1200×675 kırpıldı).
Sık sorulan sorular
iPhone ve bilgisayardaki Signal da etkileniyor mu?
AboutSignal'in aktardığına göre Signal sözcüsü hatanın yalnızca Android uygulamasında yeniden üretilebildiğini söyledi. Signal'in GitHub depolarına göre düzeltilmiş kütüphane iOS'ta 8.30.0, masaüstünde 8.29.0 sürümüyle de geldi.
Tanımadığım biri beni Signal'den arayıp bu açığı kullanabilir mi?
AboutSignal'e göre hayır: Signal'in mesaj isteği sistemi tanımadığınız kişilerden gelen aramaları otomatik engelliyor. Saldırganın sizi arayabilmesi için mesaj isteğinin kabul edilmiş olması ya da sizinle aynı grupta bulunması gerekiyor.
Aramanın gerçekten bittiğini nasıl anlarım?
Aramayı kapattıktan sonra arama göstergesinin kaybolduğunu kontrol edin. Android'de uygulama mikrofonu ya da kamerayı kullanırken durum çubuğunda bir gösterge çıkar; arama bittikten sonra bu göstergenin kapandığına bakın. En kalıcı çözüm Signal'i güncel tutmak.
