Signal: ثغرة 9.3 تتيح استمرار التنصت بعد إنهاء المكالمة

مقدمة تحليلية

كشفت Malwarebytes Labs بتاريخ 21 أكتوبر 2026 عن ثغرة أمنية حرجة في تطبيق المراسلة Signal، تُعرف بالرمز CVE-2026-113380، والتي حصلت على درجة خطورة بلغت 9.3 من أصل 10 ضمن نظام CVSS. تتيح هذه الثغرة، الكامنة في برنامج الاتصال الخاص بـ Signal، للمشارك الآخر في المكالمة الاستمرار في الاستماع حتى بعد قيام المستخدم بإنهاء الاتصال. لا يتعلق الخلل بآليات تشفير المحادثات، بل بالبروتوكولات الداخلية لإغلاق المكالمة. يشكل هذا الاكتشاف تحدياً مباشراً لسمعة Signal كمعيار للخصوصية والأمان، خاصة أن التطبيق يُروج لآلياته القوية في حماية بيانات المستخدمين. يكمن الخطر المباشر في تسجيل غير مقصود للمحادثات الخاصة أو الأصوات المحيطة بعد الاعتقاد بانتهاء المكالمة، مما قد يكشف معلومات حساسة. لم تُسجل أي حالات استغلال معروفة للثغرة في الواقع حتى الآن.

التحليل التقني

تؤثر الثغرة CVE-2026-113380 على إصدارات مكتبة RingRTC الأقدم من 2.72.0. RingRTC هي المكتبة مفتوحة المصدر التي تدعم وظائف الاتصال الصوتي والمرئي في Signal، وتوفر مكونات الاتصال لتطبيقاته على الأجهزة المحمولة وأجهزة سطح المكتب. يتجلى الخلل في كيفية إغلاق مكتبة الاتصال الخاصة بـ Signal للمكالمة بعد انتهائها، ولا تؤثر على عملية تشفير المحادثات نفسها.

وفقاً لوصف الثغرة المنشور، يمكن للمشارك الخبيث في المكالمة إغراق قائمة الأحداث الداخلية للمكالمة (internal event queue) والتدخل في الخطوات الضرورية التي يجب أن تؤدي إلى قطع الاتصال عند إنهاء المكالمة. هذا الإجراء الفني يعيق الآلية المعتادة لإغلاق مسار الصوت، مما يبقي قناة الاتصال نشطة جزئياً من جانب واحد.

آلية الاستغلال وتأثيرها

• الثغرة المحددة: CVE-2026-113380، بدرجة CVSS 9.3/10.
• المكتبة المتأثرة: RingRTC، الإصدارات الأقل من 2.72.0.
• الآلية: إغراق قائمة الأحداث الداخلية للمكالمة، مما يمنع خطوات قطع الاتصال.
• النتائج المحتملة: استمرار سماع الصوت بعد إنهاء المكالمة، يشمل الملاحظات العرضية، أو المحادثات الجانبية، أو الأصوات الخلفية الخاصة.

ذكر وصف الثغرة أيضاً احتمال بقاء الفيديو نشطاً، لكنه لم يؤكد هذا السلوك أو يوضح مدة الاستمرار المحتملة. لا تتضمن الثغرة سرقة كلمات مرور، أو اختراق حسابات، أو كشف سجلات رسائل، مما يعني أنها لا تتطلب إعادة تعيين كلمة مرور. لقد قام المطورون بتحديث الكود لجعل عملية الإغلاق أكثر مرونة عند امتلاء قائمة الأحداث الداخلية للمكالمة أو فشل خطوة إنهاء أخرى. يتوفر الإصلاح في مكتبة RingRTC الأساسية. يُنصح المستخدمون بتثبيت أي تحديثات متاحة لتطبيق Signal على أجهزتهم. ذكر الباحث بيتر أرنتز من Malwarebytes أنه وجد تحديثاً في Google Play Store رفع إصدار تطبيق Android إلى 8.32.2، وأن إصدار تطبيقه على iPad هو 8.32 (1910) مع تفعيل التحديثات التلقائية، لكنه أشار إلى صعوبة تأكيد الترقيع من موقع Signal الرسمي مباشرة.

السياق وتأثير السوق

لطالما اعتُبر Signal، بميزاته القوية للتشفير من طرف إلى طرف، الخيار الأول للأفراد والمنظمات التي تتطلب أعلى مستويات الخصوصية في اتصالاتها الرقمية. وضعه هذا التميز كبديل حاسم لتطبيقات المراسلة الأقل أماناً مثل WhatsApp، الذي يواجه بدوره انتقادات دورية بخصوص أمن بياناته. قبل هذه الثغرة، كان المستخدمون يعتمدون على Signal لضمان أن إنهاء المكالمة يعني بالضرورة إيقاف جميع قنوات الاتصال بشكل كامل، مما يمنحهم الثقة في الخصوصية الفورية بعد تعليق المكالمة. تكسر ثغرة CVE-2026-113380 هذا الافتراض الأساسي، ما يضع Signal في موقف محرج. لا يتعلق الأمر بتهديد التشفير، بل بسلامة البروتوكولات التشغيلية الأساسية التي يفترض أنها تضمن فصل الاتصال بشكل سليم. هذا العيب الجوهري يضر بالثقة التي بناها Signal على مدار سنوات، خاصة لدى المستخدمين الذين يعتمدون عليه لإجراء محادثات حساسة للغاية.

على الرغم من سرعة توفير التحديث، فإن وجود ثغرة بهذه الدرجة من الخطورة (9.3/10) في وظيفة أساسية مثل إنهاء المكالمة، يثير تساؤلات حول عمليات التدقيق والاختبار الداخلي. المنافسون المباشرون، بما فيهم تطبيقات الاتصال المشفرة الأخرى، سيستفيدون من هذا الموقف لتعزيز مكانتهم، خاصة وأن Signal كان يُنظر إليه كمعيار ذهبي. هذه الحادثة لا تغير معيار التشفير الصناعي، لكنها تعيد تعريف الثقة في تنفيذ البروتوكولات، وتقلل من الهالة الأمنية التي كانت تحيط بـ Signal كلياً. لم تكن هذه الثغرة مجرد خلل برمجي، بل كانت تقويضاً لمفهوم أساسي في الأمن السيبراني: سيطرة المستخدم على نقطة نهاية الاتصال.