Signal 通話漏洞：掛線後咪高峰或仍在收音

用 Signal 通話，按了掛線，咪高峰和鏡頭可能仍在把聲音和畫面傳給對方。 Signal 通話程式庫 RingRTC 的漏洞 CVE-2026-113380 周二（20 日）公開，評分 9.3，屬嚴重級別：通話另一方向程式灌入大量事件，就能令掛線指令無法生效。攻擊者必須已在同一通話中，暫未有已知的實際攻擊。修補 9 月已推出，桌面版已納入，但 Android 及 iOS 版何時更新仍未清楚，最穩妥是把所有裝置上的 Signal 更新到最新版。

Moby Dick2026年10月22日 19:01 HKT閱讀 2 分鐘

Signal 漏洞令掛線後咪高峰或鏡頭仍在傳送

加密通訊程式 Signal 的通話程式庫 RingRTC 被發現有一個嚴重漏洞，編號 CVE-2026-113380，香港時間 10 月 20 日中午 12 時 25 分公開。據漏洞紀錄，通話另一方只要向通話內部的狀態機佇列（即程式按次序處理通話事件的排隊清單）灌入大量事件，就可以令本機的掛線指令無法把通話連同聲音、甚至影像一併關掉。換言之，用戶以為已經掛線，咪高峰和鏡頭卻可能仍在把聲音和畫面傳給對方。

漏洞影響 RingRTC 2.72.0 之前的所有版本，2.72.0 已修補。紀錄按 CVSS 4.0 評分為 9.3 分（滿分 10 分），屬「嚴重」級別，指攻擊經網絡進行，毋須任何權限，難度低。

攻擊者必須已在同一個通話之中

這個漏洞並非任何人都可以遠程開啟用戶的咪高峰。據 TSN 報道，惡意一方必須已經和用戶在同一個通話之中，結果是用戶以為通話已經結束，聲音甚至影像卻繼續傳送。美國網絡安全及基礎設施安全局（CISA）在漏洞紀錄上把已知的實際攻擊列為「沒有」；TSN 引述 The Register 指，有人在 GitHub 發布了概念驗證程式，以 Python 模擬灌爆佇列。

修補早在 9 月推出，手機版推出時間未明

修補其實並非新事。RingRTC 在 GitHub 的紀錄顯示，Signal 工程師 Jim Gustafson 在香港時間 9 月 5 日凌晨提交題為「確保通話在特殊情況下完全終止」的修改，2.72.0 版同日稍後在 npm 套件庫發布，比漏洞公開早了一個半月。

RingRTC 修補漏洞的程式碼修改 — RingRTC 在 GitHub 的修改「Ensure calls terminate completely in corner cases」，提交日期為美國時間 2026 年 9 月 4 日，共改動 12 個檔案

據 TSN 引述 The Register 對程式碼的解讀，修改令通話狀態機毋須在佇列中排隊就能察覺用戶掛線，又加入逾時機制，防止卡住的佇列無限期阻止掛線。The Register 指，Signal 桌面版的更新紀錄顯示 9 月已納入修補，但修好的程式庫何時到達 Android 及 iOS 版本仍不清楚，Signal 未有回應查詢。

香港時間	事件
9 月 5 日 04:15	Signal 工程師在 GitHub 提交修補
9 月 5 日 07:09	RingRTC 2.72.0 在 npm 發布
10 月 20 日 12:25	漏洞紀錄 CVE-2026-113380 公開

由於各平台的推出日期未明，用戶要確保修補到位，唯一方法是把手機和電腦上的 Signal 都更新到最新版本，並只從官方應用程式商店或 Signal 網站下載。

來源

CVE-2026-113380（原始文件）
Signal Calling Flaw Could Leave a Call Open After Hangup, CVE Record Says（TSN）
Ensure calls terminate completely in corner cases（RingRTC 程式碼修改）

GitLab 再現滿分漏洞：10 月 12 日修補過的伺服器仍可被免登入入侵

公司自建來存放程式碼的 GitLab 伺服器，10 月 12 日剛打完補丁，原來仍可被免登入入侵。 GitLab 美國時間周三（21 日）再發緊急修補，漏洞 CVE-2026-110264 評為 CVSS 10.0 滿分，未登入者可在伺服器執行任意程式碼，由 2014 年 7.0 版起全部受影響。問題出在 GitLab 附帶的 Ruby 正規表示式引擎 Onigmo，與 12 日修補的漏洞同源；按公告，當時升級到 19.4.2 等版本的伺服器仍要再升級。保安公司 Rapid7 重現上一個漏洞時指，若伺服器容許任何人註冊開專案，攻擊門檻形同虛設。

OPAL：讓 AI 代理在訓練途中改寫優化器

訓練 AI 的規則一向開跑前寫死，這次交給另一個 AI 邊訓練邊改。決定模型每一步怎樣學的優化器，向來開跑前定好就不再改。研究員 Xingjian Bai、Vincent Sitzmann 等人周三（21 日）發表開源工具 OPAL，由 Claude Code 定時讀取訓練報告，再改寫參數更新規則和學習率。團隊稱，在未有現成調校方案的語言及圖像任務上，它追平或勝過最佳現成方案，ImageNet 圖像生成的 FID（越低越好）由 2.18 降至 1.83。不過大部分實驗只跑過一次，訓練時間亦拉長至 1.3 至 4.4 倍。

PHP 漏洞修補前外洩 10 月 21 日晚緊急更新

WordPress 等 PHP 網站有兩個可被黑客遙距控制伺服器的嚴重漏洞，修補未出，消息已先在網上外洩。 PHP 安全團隊預告香港時間 10 月 21 日晚上 10 時發布更新，兩個漏洞的嚴重程度同評 9.2 分（滿分 10）。漏洞消息 10 月 20 日晚已在網上外洩，網絡安全公司 watchTowr 證實屬實，PHP 表示若細節公開或出現攻擊，會提早發布。網絡安全公司 Sansec 預料更新一出便有大規模攻擊；PHP 8.1 或更舊的版本不會獲官方修補。