Homme au téléphone, illustrant la faille Signal qui garde un appel ouvert après avoir raccroché

Faille Signal : l’appel que vous raccrochez peut continuer d’écouter

Vous raccrochez. L’écran affiche « Appel terminé ». Pourtant, le micro de votre téléphone continue de transmettre ce qui se dit dans votre bureau à la personne qui vous a appelé. C’est ce que permettait une faille Signal rendue publique le mardi 20 octobre : CVE-2026-113380, notée 9,3 sur 10.

Signal est utilisé par bien des dirigeants et des équipes pour les échanges qu’ils veulent garder discrets. La bonne nouvelle : le correctif existe depuis le 4 septembre, et un appareil à jour est protégé. La moins bonne : dans une PME, il reste souvent un vieux téléphone, une tablette ou un ordinateur où Signal n’a pas été mis à jour depuis des mois.

Faille Signal : l’appel terminé qui écoute encore

Signal1🎙️ micro actif

👤

Numéro inconnu

2Appel terminé

📵

Ce que l’écran ne vous dit pas

1L’indicateur de micro du téléphone (point orange sur iPhone, icône verte sur Android) reste allumé après la fin de l’appel. C’est le seul signe visible.
2L’écran affiche « Appel terminé », mais dans une version vulnérable, la connexion audio, et peut-être la vidéo, peut continuer en arrière-plan.
NoneLa cause : l’appelant malveillant inonde la file d’attente interne de l’appel (256 places). Votre ordre de raccrocher reste coincé derrière son « bruit », et le nettoyage de l’appel ne se fait jamais.

La faille se trouve dans RingRTC, la bibliothèque qui gère les appels audio et vidéo dans toutes les applications Signal : Android, iPhone et ordinateur. Selon la fiche CVE, un correspondant qui sature la file d’attente de l’appel peut empêcher votre raccrochage de fermer complètement la communication. Le correctif de Signal ajoute un signal d’arrêt indépendant de cette file, limite l’attente à cinq secondes et termine le nettoyage même si une étape échoue.

Faut-il s’inquiéter? Gravité et urgence

Gravité et urgence : deux choses différentes

Gravité technique (CVSS 4.0) 9,3 / 10

Note « critique » : un appelant peut écouter ce qui se dit après que vous avez raccroché, sans autre accès à votre téléphone.

Exploitation connue aucune

Aucune attaque réelle signalée, et la faille n’est pas dans le catalogue des failles exploitées de la CISA. Mais une démonstration du principe est publique depuis le 20 octobre.

Correctif disponible depuis 7 semaines

Signal a corrigé la bibliothèque le 4 septembre. Un téléphone qui installe ses mises à jour est déjà protégé.

Autrement dit : pas de panique, mais aucune raison de laisser un vieux Signal sur un téléphone de l’entreprise.

Les versions qui corrigent la faille Signal

Signal n’a pas publié de liste officielle des versions touchées. Le site ThreatWire a vérifié, dans le code source public de Signal, la première version de chaque application qui contient le correctif :

Appareil	Version minimale sûre	Où voir la version
Android	8.27.0 ou plus récente	Signal › photo de profil › Aide : le numéro est affiché
iPhone et iPad	8.30 ou plus récente	Signal › Réglages › Aide
Ordinateur (Signal Desktop)	8.29.0 ou plus récente	Windows et Linux : menu Aide › À propos; Mac : menu Signal › À propos
Application qui intègre RingRTC (développeurs)	RingRTC 2.72.0 ou plus récente	Fichier de dépendances du projet

Trois idées reçues à corriger

❌ Mythe 1

« Signal est chiffré, donc cette faille ne me concerne pas. »

✅ Fait 1

Le chiffrement n’est pas en cause. La faille touche la fin de l’appel : la conversation reste chiffrée, mais elle continue d’aller vers la personne qui vous a appelé, alors que vous croyez avoir raccroché.

❌ Mythe 2

« Il faudrait que le pirate ait accès à mon téléphone. »

✅ Fait 2

Non. Il suffit d’être en appel avec lui. C’est pour ça que les appels de numéros inconnus méritent un peu plus de prudence tant que vos appareils ne sont pas à jour.

❌ Mythe 3

« J’ai mis à jour mon téléphone, donc mon ordinateur aussi. »

✅ Fait 3

Signal Desktop et l’iPad se mettent à jour séparément. Une version de bureau restée ouverte pendant des semaines peut attendre un simple redémarrage pour installer la mise à jour.

Votre plan pour aujourd’hui

Le tour du parc mobile en 20 minutes

☐ Faites la liste des téléphones, tablettes et ordinateurs de l’entreprise où Signal est installé, y compris les téléphones personnels utilisés pour le travail.
☐ Vérifiez la version sur chacun avec le tableau ci-dessus. Tout ce qui est plus vieux : mise à jour aujourd’hui.
☐ Activez les mises à jour automatiques des applications (Google Play et App Store), puis redémarrez Signal Desktop.
☐ Si vous gérez les appareils avec Microsoft Intune, servez-vous de l’inventaire des applications pour repérer les versions trop anciennes sur les appareils de l’entreprise.
☐ Rappelez à l’équipe le réflexe simple : après un appel délicat, regardez si l’indicateur de micro s’est éteint avant de parler de choses sensibles.

📞 Et WhatsApp, Teams ou Zoom?

Rien n’indique qu’ils sont touchés : cette faille est propre à la bibliothèque d’appels de Signal. Mais la leçon vaut pour toutes vos applications d’appel. Un correctif publié ne protège que les appareils qui l’ont installé, et les détails d’une faille finissent toujours par devenir publics, ici sept semaines après la correction.

Les appels et les messages restent une porte d’entrée privilégiée : relisez notre article sur l’hameçonnage par « code d’appareil », qui commence souvent par un message anodin. Et si votre équipe utilise Microsoft 365, nos services Microsoft 365 incluent la gestion des appareils avec Intune pour garder les applications à jour.

Chez NeoTech, notre soutien informatique et centre d’assistance tient l’inventaire de vos appareils et de leurs mises à jour. Avec notre surveillance cyber, une surveillance automatisée 24/7 avec intervention du technicien de garde signale les appareils qui ne reçoivent plus leurs correctifs.

Réservez votre Bilan cyber gratuit

Vous ne savez pas combien d’appareils de l’entreprise ont encore une vieille version d’une application d’appel? Le Bilan cyber gratuit commence par là : nous faisons le tour de vos téléphones, ordinateurs et mises à jour, puis nous vous remettons un plan clair.

👉 Réservez votre Bilan cyber gratuit

Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.

Sources

Photo : August de Richelieu, Pexels (licence Pexels).