你在 Signal 里点了挂断，以为通话结束了，对方那边却可能还能听到你这边的声音——这就是 CVE-2026-113380 的风险。简单讲：这是 Signal 通话库 RingRTC 里的严重漏洞，已在 RingRTC 2.72.0 修复，建议你把所有设备上的 Signal 都更新到最新版。
该漏洞 2026 年 10 月 20 日公开，CVSS 评分 9.3（满分 10），属于“严重”级别。CVSS 是一套给漏洞打危险分的体系，CVE 则是已知漏洞的公共编号，方便大家在不同资料里指同一个问题。按公开信息，受影响的是早于 2.72.0 的 RingRTC 版本。
漏洞到底是怎么回事
报道称，恶意来电方可以让对方“挂不断”：受害者以为通话已结束，麦克风其实还开着；公开描述还提到，视频也可能继续开着。不过具体触发条件、额外传输持续多久，目前并不清楚。
原因出在 RingRTC 处理通话事件的方式。它用“有限状态机”（FSM）管理通话的各个阶段，包括结束通话。你可以把事件队列想成店里柜台前的排队：每个请求按顺序等着办。如果通话另一端不停地灌入请求，队伍就会被塞满，本机的“挂断”请求可能被漏掉，通话也就不能按预期关闭。
这类问题归在 CWE-754（对异常或罕见情况检查不足）。需要强调的是，它出在“结束通话”这一环，并不涉及 Signal 的消息加密，报道也说这个漏洞本身并不意味着账号被盗、密码泄露或聊天记录暴露。
2.72.0 改了什么
对比 2.71.0 和 2.72.0 的代码，主要有两处改动：一是把挂断请求从拥挤的事件队列里分离出来单独处理；二是加了超时机制，避免某个卡住的任务无限期堵住挂断流程。
| 客户端 | 据转载公告，受影响版本 |
|---|---|
| RingRTC 库 | 2.72.0 之前 |
| Android | 8.27.0 之前 |
| iOS | 8.30.0 之前 |
| 桌面版 | 8.29.0 之前 |
要注意，这些 App 版本号来自意大利网络安全事件响应社区的转载公告；报道称，在已查阅的资料里，Signal 官方并没有公开确认“受影响版本”和“首个修复版本”。所以别只盯着版本号，直接安装应用商店或官网里的最新正式版最稳妥。CIRCL 漏洞库和 GitHub 上也有该 CVE 的记录，感兴趣的话可以自己查。
现在该怎么做
- 手机、平板、电脑上的 Signal 都更新到最新版，三端是分开列的，每一个都要更新。
- 更新之前，别在和不信任的联系人通话时谈敏感内容。
- 通话结束后，多留意界面和系统的麦克风指示灯，确认确实已经挂断。
目前没有公开证据显示该漏洞已被用于真实攻击。“严重”评级描述的是潜在危害，并不等于已经出现大规模攻击。想了解 Signal 近期的其他动态，可以看看我们写的 Signal 推进无手机号注册，以及 Signal 对加拿大 C-22 法案的警告。
常见问题（FAQ）
我的聊天记录会不会被看到？
按目前报道，这个漏洞出在通话结束环节，与消息加密无关，也不代表聊天记录泄露。
已经有人利用这个漏洞攻击了吗？
目前没有公开的确认证据显示它被用于真实攻击。
更新到哪个版本才安全？
修复在 RingRTC 2.72.0。App 层面官方未公开确认具体版本号，所以直接装最新正式版即可。
小结
加密再强，也要靠管理通话和设备的软件来配合。这个案例提醒我们：即便是 Signal 这样的隐私通讯工具，也要养成及时更新的习惯。本文仅作安全信息整理，不构成法律或专业安全意见。
参考来源：CVE 记录、RingRTC 2.71.0 与 2.72.0 版本对比、CIRCL 漏洞库、意大利网络安全事件响应社区转载公告。