Molly, la version « durcie » de Signal pour Android, n’a pas reçu de mise à jour depuis le 31 juillet. Pendant ce temps, Signal a corrigé plusieurs failles, dont un bug d’appel qui laissait le micro ouvert après le raccrochage.
Un message publié sur la communauté « You Should Know » de PieFed tire la sonnette d’alarme. Son auteur conseille de revenir à Signal et de supprimer Molly en attendant une reprise des mises à jour.
Pendant que Signal colmate les brèches, Molly reste à quai
Molly est un « fork » de Signal maintenu à part et auquel ses développeurs ajoutent des protections. L’application est proposée sur GrapheneOS, via la boutique Accrescent. Sa dernière version, la v8.19.2-4, date du 31 juillet. Elle réglait une fuite DNS apparue dans la version précédente quand un proxy SOCKS5 était configuré. Les requêtes qui servent à retrouver l’adresse d’un serveur sortaient du proxy et pouvaient révéler les serveurs contactés. Rien n’a été publié depuis, soit plus de trois mois.
Le souci d’un fork, c’est qu’il ne reçoit pas les correctifs automatiquement. Chaque patch de Signal doit être repris, intégré puis diffusé par l’équipe de Molly. Il y a notamment eu cette faille majeure rendue publique le mois dernier et corrigée dans Signal 8.27. Celle-ci serait toujours présente dans Molly. Mais ce n’est qu’un exemple.
La vulnérabilité en question touchait RingRTC, la bibliothèque qui gère les appels de Signal (CVE-2026-113380, notée 9,3 sur 10 en gravité). Chaque action d’un appel passe par une file d’attente, y compris le raccrochage. Un appelant malveillant pouvait saturer cette file et bloquer la demande. Dans ce cas, l’écran affichait un appel terminé, mais le micro continuait d’émettre. Avouons que ça serait un comble pour un smartphone sous GrapheneOS…
L’équipe développant Molly reste pour l’heure muette. Dans les rapports de problèmes sur le dépôt GitHub, les contributeurs s’interrogent depuis quelque temps déjà sur l’absence de correctifs.
