Apple stuft die Schwachstelle als Logging-Problem ein: Nachrichten-Benachrichtigungen, die zum Löschen vorgesehen waren, blieben unerwartet auf dem Gerät erhalten. Behoben wurde der Fehler laut Hersteller durch eine verbesserte Schwärzung der betroffenen Daten. Ein CVSS-Schweregrad ist für CVE-2026-28950 nicht angegeben.

Auslöser für die öffentliche Aufmerksamkeit war ein Bericht von 404 Media. Diesem zufolge konnte das FBI Kopien eingehender Signal-Nachrichten aus dem iPhone eines Angeklagten auslesen, obwohl die Messenger-App entfernt worden war. Die Inhalte ließen sich rekonstruieren, weil sie in der Push-Benachrichtigungsdatenbank des Geräts gespeichert blieben.

Unklar ist weiterhin, wann der Fehler eingeführt wurde und ob es bereits frühere Fälle gab, in denen Ermittlungsbehörden solche Daten mit forensischen Werkzeugen erfasst haben. Signal bietet zwar bereits die Möglichkeit, die Inhalte eingehender Nachrichten gar nicht erst in Benachrichtigungen anzuzeigen – der Fall verdeutlicht aber, wie der physische Zugriff auf ein Gerät die Extraktion sensibler Daten bei gefährdeten Nutzern erleichtern kann.

Die Electronic Frontier Foundation (EFF) wies darauf hin, dass sich bei den meisten App-Benachrichtigungen kaum nachvollziehen lasse, welche Metadaten aus ihnen abgeleitet werden könnten oder ob sie verschlüsselt seien. Es lohne sich zudem, grundsätzlich zu überdenken, von welchen Apps man überhaupt Benachrichtigungen erhalten wolle.

Wer verhindern möchte, dass Nachrichteninhalte in Benachrichtigungen erscheinen, kann das in Signal unter „Profil > Benachrichtigungen > Anzeigen" einstellen und dort entweder „Nur Name" oder „Kein Name oder Nachricht" wählen.

Signal selbst betonte auf der Plattform X, dass für den Schutz durch den Fix kein eigenes Zutun nötig sei: Sobald der Patch installiert ist, würden alle versehentlich gespeicherten Benachrichtigungen gelöscht, und künftige Benachrichtigungen für entfernte Anwendungen würden nicht mehr aufbewahrt. Man sei Apple für das schnelle Handeln dankbar und dafür, dass das Unternehmen die Tragweite eines solchen Problems verstanden und darauf reagiert habe.