Cette faille de sécurité montre pourquoi les outils grand public ne conviennent pas aux communications critiques

Une faille critique dans la bibliothèque d'appels RingRTC de Signal, CVE-2026-113380⁶ avec un score CVSS de 9,3, permettait à un participant malveillant de maintenir la transmission audio, et éventuellement vidéo, d’un appel après que la victime eut raccroché. Signal a corrigé cette faille, qui illustre pourquoi les outils grand public ne conviennent pas aux communications critiques : les conditions qui la rendaient possible — un participant non vérifié par l’organisation et une version client que celle-ci ne contrôle pas — découlent de la manière dont les applications grand public sont conçues et déployées, et non de ce bug en particulier. 

Que s'est-il passé ? 

Les outils d'appel destinés aux particuliers sont conçus pour les utilisateurs qui font confiance à la personne qu'ils appellent et qui mettent à jour eux-mêmes leurs applications. 

Le 20 octobre, MITRE a publié le CVE-2026-113380⁶, une faille dans RingRTC, la bibliothèque open source basée sur WebRTC que Signal utilise pour les appels vocaux et vidéo.¹ Un participant qui inonde la file d’attente des événements d’un appel peut empêcher l’autre interlocuteur de raccrocher, de sorte que le son, et éventuellement la vidéo, continuent d’être transmis à l’attaquant tandis que la victime croit que l’appel est terminé.² Le chercheur à l’origine de cette publication souligne que la bibliothèque confiait cette file d’attente au pair distant, sans limitation de débit ni voie prioritaire pour la fin d’appel. De plus, comme il s’agit d’une bibliothèque partagée, tous les clients Signal sur Android, iOS et ordinateur de bureau étaient concernés.³ 

Signal a corrigé cette faille dans RingRTC 2.72.0 en veillant à ce que les demandes de fin d'appel ne restent pas bloquées dans la file d'attente des événements et soient détectées de manière indépendante. La démonstration de faisabilité du chercheur est de nature conceptuelle et l'analyse de la couverture ne fait état d'aucune exploitation confirmée.¹ Cette faille concerne la manière dont les appels se terminent et ne remet pas en cause le chiffrement de Signal. 

Le terme « grand public » décrit la manière dont un outil est conçu et déployé, sans rien dire sur la qualité de son développement technique. Signal est une application gratuite destinée au grand public et très appréciée à ce titre. Tout le monde peut l'installer et s'inscrire ; c'est à chaque utilisateur de décider s'il souhaite participer à une conversation ; l'organisation n'a aucune visibilité sur les versions logicielles utilisées par son personnel, et la mise à jour relève de la responsabilité de chaque utilisateur. Ces caractéristiques conviennent à la communication personnelle. Dans ce cas précis, l'attaquant devait participer à l'appel et avait besoin que la victime utilise un client non mis à jour. 

Les communications critiques sont celles pour lesquelles l'écoute clandestine, la perte ou l'indisponibilité ont des conséquences opérationnelles, comme c'est le cas dans les secteurs de l'administration, de la défense et des infrastructures critiques. Elles exigent que ce soit l'organisation, et non chaque utilisateur individuel, qui contrôle qui peut y prendre part, quelles versions logicielles sont utilisées et ce qui se passe en cas de problème. Un microphone resté allumé après un appel constitue un désagrément pour un utilisateur privé, mais représente un risque de sécurité pour un responsable discutant d'opérations. 

Les gouvernements sont parvenus à une conclusion similaire. À la suite de piratages de comptes liés à l'État appartenant à des hauts fonctionnaires sur des applications de messagerie, la Commission européenne aurait demandé à un groupe de hauts fonctionnaires de quitter un groupe de discussion sur Signal par crainte que leurs comptes ne soient compromis⁴ et une présentation interne de l'UE sur la cybersécurité a cité l'absence d'un système de communication sécurisé normalisé comme un problème structurel.⁵ 

Ce que cela signifie

Pourquoi est-ce important ?   

Mesures recommandées

Poste chez BlackBerry 

Signal a corrigé sa bibliothèque d’appels partagée, ce qui est la bonne réaction ; ici, l’expression « grand public » décrit à qui s’adresse l’outil et ne dit rien sur la qualité de son ingénierie. Un outil conçu pour les particuliers laisse à chacun le soin de gérer sa participation, l’état de son appareil et le moment des mises à jour. Cela est raisonnable pour les communications personnelles, mais inenvisageable lorsqu’une organisation est responsable de l’identification des participants et du logiciel utilisé pour la conversation. Les communications critiques nécessitent que l’organisation conserve ces contrôles.  

Références :

1.  Une faille de sécurité dans Signal permet à des appelants malveillants de bloquer les raccrochages (SecurityWeek, 22 octobre 2026). 

2.  Une faille dans Signal pourrait exposer les enregistrements audio et vidéo même après que les utilisateurs ont raccroché (Help Net Security, 22 octobre 2026). 

3.  ThreatsDay : fuite de secrets d'IA, vol du code source de PingCAP, faille de déconnexion de Signal, contournement de l'authentification Laravel + 21 autres (The Hacker News, octobre 2026). 

4. Des pirates informatiques russes ciblent des fonctionnaires de l'UE via des applications de messagerie (Dark Reading, article sur les attaques de hameçonnage orchestrées par des États visant des fonctionnaires de l'UE via des applications de messagerie, août 2026). 

5. Des acteurs étatiques ont tenté de pirater les applications de messagerie des fonctionnaires de l'UE, met en garde l'organisme chargé de la cybersécurité (Euronews, compte rendu de la présentation confidentielle de la Commission européenne sur la compromission d’applications de messagerie, août 2026). 

6. Détails sur CVE-2026-113380 (Base de données nationale sur les vulnérabilités, Laboratoire des technologies de l'information, Source : MITRE, Date de publication de la NVD : 20 octobre 2026, Dernière modification de la NVD : 31 octobre 2026).