Lỗ hổng Signal có thể khiến micro và camera vẫn bật sau khi gác máy

Signal vừa công bố một lỗ hổng bảo mật nghiêm trọng trong thư viện gọi điện mã nguồn mở RingRTC. Lỗi này có thể khiến cuộc gọi không được kết thúc đúng cách, tiềm ẩn nguy cơ micro và thậm chí cả camera vẫn tiếp tục hoạt động sau khi người dùng đã gác máy. Bản vá đã có từ tháng trước, nhưng người dùng cần kiểm tra và cập nhật ứng dụng ngay lập tức.

Chi tiết về lỗ hổng CVE-2026-113380

Lỗ hổng được MITRE công bố với mã CVE-2026-113380 và điểm CVSS lên tới 9.3 — mức độ nghiêm trọng. Lỗi ảnh hưởng đến mọi phiên bản RingRTC trước 2.72.0, thư viện gọi điện do chính Signal phát triển dựa trên nền tảng WebRTC.

RingRTC cung cấp các chức năng gọi điện riêng cho Signal, sử dụng WebRTC vốn đã mã hóa luồng dữ liệu media. Tuy nhiên, điều đó không ngăn được việc RingRTC thất bại trong việc kết thúc cuộc gọi trong một số điều kiện nhất định.

Cơ chế tấn công

Về bản chất, đây là một dạng tấn công từ chối dịch vụ (DoS) nhắm vào hàng đợi sự kiện của máy trạng thái hữu hạn (FSM) trong RingRTC — thành phần chịu trách nhiệm quản lý các sự kiện trong cuộc gọi.

Nếu một người trong cuộc gọi liên tục gửi yêu cầu làm quá tải hàng đợi FSM, hệ thống có thể bị nghẽn và không xử lý được lệnh gác máy, khiến cuộc gọi không thể kết thúc đúng cách. Lỗ hổng được phân loại là CWE-754 — kiểm tra không đầy đủ các điều kiện bất thường hoặc ngoại lệ.

Kịch bản nguy hiểm nhất: người ở đầu dây bên kia tưởng rằng cuộc gọi đã kết thúc, nhưng kênh âm thanh hoặc video — hoặc cả hai — vẫn có thể đang mở.

Theo đánh giá từ báo cáo CVE, độ phức tạp của cuộc tấn công được xem là thấp. Một kịch bản chứng minh khái niệm (proof of concept) đã được công bố trên GitHub, sử dụng script Python để mô phỏng việc làm ngập hàng đợi sự kiện nhằm chặn lệnh gác máy.

Bản vá và cách khắc phục

So sánh giữa RingRTC 2.72.0 và phiên bản trước đó cho thấy bản vá của Signal cho phép FSM phát hiện yêu cầu kết thúc độc lập với hàng đợi sự kiện, đồng thời bổ sung cơ chế timeout để ngăn việc xử lý bị treo chặn lệnh gác máy vô thời hạn.

Dù vậy, vẫn chưa rõ chính xác thời điểm bản RingRTC 2.72.0 được đưa vào các phiên bản ứng dụng Signal trên Android, iOS và desktop. Lịch sử phát hành của Signal Desktop cho thấy RingRTC 2.72.0 đã được tích hợp từ tháng 9, nhưng ngày triển khai cụ thể trên từng nền tảng vẫn chưa được xác nhận rõ ràng.

Người dùng Việt Nam cần làm gì?

Đối với người dùng Signal tại Việt Nam — đặc biệt là những ai thường xuyên sử dụng ứng dụng cho các cuộc gọi nhạy cảm về công việc hoặc cá nhân — đây là lời cảnh báo đáng lưu tâm:

• Cập nhật ứng dụng ngay trên cả điện thoại và máy tính để bảo đảm không còn nằm trong vùng ảnh hưởng.
• Kiểm tra phiên bản trong phần cài đặt của ứng dụng để chắc chắn đã dùng bản mới nhất.
• Cẩn trọng với những gì bạn nói sau khi gác máy — đừng vội chia sẻ thông tin riêng tư hay lời lẽ nhạy cảm cho đến khi chắc chắn cuộc gọi đã thực sự kết thúc.
• Với các tổ chức dùng Signal cho liên lạc nội bộ, nên rà soát và cập nhật đồng loạt để tránh rủi ro lộ thông tin.

Hiện tại, danh mục lỗ hổng đang bị khai thác (KEV) của CISA chưa ghi nhận trường hợp nào bị lợi dụng ngoài thực tế. Tuy nhiên, với điểm CVSS cao và độ phức tạp tấn công thấp, việc chủ động vá lỗi là bước phòng ngừa cần thiết.