要点
- Signal の非公式版 Molly は、2026年7月31日を最後に新しい版を出しておらず、本家 Signal から3か月ほど遅れている。
- その間に本家では「通話を切ってもマイクやカメラが動き続けることがある」欠陥が直ったが、Molly の最新版は修正が出る前のものだ。
- 悪用はまだ確認されていない。ただ、Molly を使い続けるなら修正が届かない状態が続く。
何が起きたか
Molly は、メッセージアプリ Signal の Android 版をもとにした非公式版だ。Signal のアプリを、端末の中で守りを固める方向に作り替えている。たとえば、アプリの中のデータに自分で決めたパスワードで鍵をかけられる。Google のサービスなしでも通知を受けられる。プライバシーを重く見る人が、あえて選ぶアプリだ。
Molly の README には、本家の新しい機能や修正を取り込むために「2週間ごと」に更新すると書いてある。セキュリティの修正は、出しだい配るともしている。
ところが Molly の GitHub のリリース一覧を見ると、最新版は7月31日に出た v8.19.2-4 のままだ。これは本家の Signal 8.19.2 をもとにした版である。本家の Android 版は、10月26日に出た v8.33.2 が最新の安定版になっている。
この間に、本家で直った欠陥の一つが CVE-2026-113380 だ。CVE は、公に知られた欠陥一つひとつに振る番号である。CVE の登録内容によると、欠陥は Signal の通話の部品 RingRTC にある。通話の相手が大量のデータを送りつけると、こちらで切っても通話がきちんと終わらないことがある。発見者の報告をもとにした Privacy Guides の記事は、マイクと、場合によってはカメラが動いたままになると説明している。深刻さの点数は10点中9.3で、「緊急」の区分だ。
この欠陥は RingRTC 2.72.0 で直った。非公式のニュースサイト AboutSignal は、Signal の広報の話として、この欠陥は Android 版でしか再現しなかったと伝えている。同じ記事で AboutSignal は、Android 版では9月9日に配り始めた 8.27 で直ったとしている。Molly の最新版はそれより前に出ているので、この修正は入っていないとみられる。
遅れについては、Molly の GitHub で利用者が issue #827 を立てて話し合っている。その中で、ある参加者は10月22日の時点で「3.5か月遅れ」と書いた。別の参加者は、開発を続けられないなら利用者を本家へ戻すよう呼びかけるべきだと書いている。次の版がいつ出るかを尋ねる参加者もいて、公表された日程はないとみられる。
日本の利用者への影響
Molly は、Signal の利用者の中でも限られた人が使うアプリだ。Molly は Android 専用で、iPhone の人は関係ない。日本で被害が出ているかは分からない。悪用されたという報告は、日本に限らず、まだ知られていない。
ただし、取材先や情報源とのやりとりに Signal を使う記者や研究者、セキュリティの担当者には Molly を選ぶ人もいる。そういう人ほど、通話が切れないという欠陥の影響が重くなりうる。
今すぐやること
- Molly を使っているか確かめる。 ホーム画面やアプリの一覧に「Molly」があるか見る。本家の Signal とは別のアプリとして入っている。
- 使っているなら、本家に戻すか決める。 この件を PieFed に投稿した利用者は、Molly の更新がまともに戻るまでは本家を使い、Molly は消すよう勧めている。Molly 独自の機能（データの鍵や Google なしの通知）がどうしても要るのでなければ、本家に戻すのが確実だ。
- 戻す前に、Molly でバックアップを取る。 Molly の README は、Molly と Signal のバックアップは互いに読めるとしている。取り方と戻し方は、Signal のサポートページで確かめる。
- 本家の Signal を入れて、最初の設定でバックアップから戻す。 同じ電話番号を Molly と本家でそれぞれ別に登録すると、最後に登録したほうしか使えない。本家で登録し直せば Molly は使えなくなる。（Molly を本家の「リンク済み端末」として登録すれば同じ番号で両方使えるが、それでは Molly を使い続けることになる。）戻ったのを確かめてから Molly を消す。
- Molly を使い続ける場合は、通話のあとにマイクとカメラの表示を見る。 Privacy Guides は、切ったあとに画面上のマイクやカメラの表示が消えるか確かめるよう勧めている。消えなければ、端末の設定でアプリのマイクとカメラの許可を外す。
背景
Signal のような人気のアプリをもとにした非公式版は、本家の変更を取り込み続けなければならない。本家が変われば変わるほど、自分たちの手直しとぶつかる部分が増え、取り込みが重くなる。issue #827 でも、本家の変更を取り込むときにぶつかる部分を直す手間が話題になっている。ある参加者は10月2日のコメントで、Molly の公式 Mastodon アカウントが git-carrier という道具の公開を知らせたと書いた。そのうえで、これで更新の遅れもじきに解消するはずだ、という自分の見立てを示している。
安全のために選んだ非公式版でも、本家の修正が届かなければ、そのぶん危なくなる。非公式版を選ぶときは、機能だけでなく、本家にどれだけついていけているかも見ておきたい。
技術者向けの詳細
- Molly の最新版: v8.19.2-4（2026-07-31）。もとにした本家は Signal 8.19.2。
- 本家 Signal-Android の最新の安定版: v8.33.2（2026-10-26）。v8.34.x はプレリリース。
- CVE-2026-113380
- 対象:
@signalapp/ringrtc2.72.0 より前。修正は commit 4b1b6fa（v2.71.0…v2.72.0 の差分） - CVSS 4.0: 9.3（CRITICAL）。
AV:N/AC:L/AT:N/PR:N/UI:P/...。AboutSignal によると、悪用するには攻撃者が相手と通話に参加している必要がある - CWE-754。CVE の公開は 2026-10-20 04:25 UTC（日本時間 13:25）
- CISA ADP の評価: Exploitation「none」、Automatable「no」
- AboutSignal は、再現できたのは Android だけと伝えている。CVE の登録内容は OS を限っていない
- 対象:
- Molly 独自の取り込みの遅れは、利用者の issue #827 で話し合われている。参加者が 8.33.2 相当の版の時期を尋ねており、公表された日程はないとみられる。
- 入っているかを ADB で確かめる（本家のパッケージ名は
org.thoughtcrime.securesms。Molly は名前に molly を含むものを探す）:
adb shell pm list packages | grep -i -E 'molly|org.thoughtcrime.securesms'
adb shell dumpsys package <見つかったパッケージ名> | grep versionName
- 本家の APK を Play ストアの外から入れるなら、signal.org/android/apk から取り、署名の指紋を確かめる。
- バックアップと端末の移し方は Signal のサポートページを見る。Molly の画面の鍵（データベースの暗号化）や UnifiedPush は、本家には同じものがない。