Signal, falla critica può lasciare il microfono acceso dopo la chiamata

📌 In Sintesi

• Una vulnerabilità critica di RingRTC, la libreria che gestisce le chiamate Signal, può impedire la corretta terminazione di una conversazione e lasciare attivo il flusso audio, con un possibile coinvolgimento anche del video.
• La falla CVE-2026-113380 ha gravità CVSS 9.3 e richiede l’intervento di un partecipante malevolo alla chiamata. Non risulta uno sfruttamento confermato in attacchi reali.
• La correzione è presente in RingRTC 2.72.0. Secondo CSIRT Italia, sono interessate le versioni precedenti a Signal 8.27.0 per Android, 8.30.0 per iOS e 8.29.0 per Desktop.

Signal ha corretto una vulnerabilità critica che potrebbe consentire a un partecipante malevolo di continuare a ricevere l’audio dopo che l’altro utente ha terminato una chiamata. Identificata come CVE-2026-113380, la falla interessa RingRTC, la libreria open source che gestisce le comunicazioni vocali e video dell’applicazione, e ha ricevuto un punteggio di gravità CVSS 9.3. L’allerta, pubblicata il 20 ottobre 2026, riguarda un errore nella gestione della chiusura delle sessioni, non una compromissione della crittografia end-to-end. Il software è già stato corretto, ma gli utenti che utilizzano versioni precedenti devono verificare gli aggiornamenti disponibili.

Signal CVE-2026-113380: perché una chiamata può non terminare davvero

La vulnerabilità nasce dal funzionamento della finite-state machine, la macchina a stati che gestisce le diverse fasi di una chiamata attraverso RingRTC. Durante una comunicazione, il sistema elabora eventi relativi all’apertura della connessione, alla trasmissione dei flussi multimediali e alla terminazione della sessione. Questi eventi vengono gestiti attraverso una coda interna con capacità limitata. Secondo la descrizione tecnica della CVE, un partecipante remoto può saturare questa coda e interferire con la procedura eseguita quando l’utente locale seleziona il comando per riagganciare. La richiesta di terminazione rischia di non completare tutte le operazioni necessarie a disattivare il flusso audio, lasciando potenzialmente aperta la comunicazione con l’interlocutore malevolo. La documentazione menziona anche la possibile permanenza del video, ma non dimostra che questa conseguenza si verifichi in tutte le condizioni né specifica per quanto tempo i flussi possano rimanere attivi. Il problema è stato classificato come CWE-754, gestione impropria di condizioni eccezionali, e descritto nel bollettino pubblico CVE-2026-113380. Il rischio riguarda quindi un’operazione apparentemente ordinaria, la chiusura di una chiamata, che può non coincidere con l’effettiva interruzione tecnica della connessione. Per un’applicazione utilizzata anche da giornalisti, professionisti e soggetti che trattano informazioni riservate, la differenza fra credere di aver terminato una conversazione e aver realmente disattivato il microfono assume un valore di sicurezza evidente.

Leggi anche: Signal automatizza la verifica delle chiavi con la key transparency

RingRTC 2.72.0 risolve il problema con un comando di terminazione indipendente

L’analisi delle modifiche introdotte dagli sviluppatori mostra che la vulnerabilità non dipende da un errore negli algoritmi di cifratura, ma da un problema di controllo del ciclo di vita della chiamata. La coda interna può contenere fino a 256 eventi e, nella precedente implementazione, alcune operazioni di arresto potevano interrompersi prematuramente quando una condizione eccezionale impediva di completare un passaggio. Per correggere il comportamento, gli sviluppatori hanno introdotto un indicatore indipendente di richiesta di terminazione, denominato terminate_requested, e un limite temporale di cinque secondi per determinate attese della macchina a stati. Il sistema può così riconoscere la volontà dell’utente di interrompere la comunicazione anche quando la normale coda degli eventi non è più in grado di elaborarla correttamente. Sono stati inoltre modificati i meccanismi di pulizia delle risorse affinché un errore durante una fase non blocchi necessariamente quelle successive. La correzione è documentata nel commit ufficiale del repository RingRTC, risalente al 4 settembre 2026, ed è inclusa dalla versione 2.72.0. Questo dettaglio chiarisce la cronologia: la pubblicazione della CVE il 20 ottobre non coincide con la scoperta di una vulnerabilità ancora priva di patch. Signal aveva già modificato il componente, mentre la successiva divulgazione ha reso pubblici il problema e le condizioni di sfruttamento.

Signal Android, iOS e Desktop: quali versioni devono essere aggiornate

Il bollettino diffuso da CSIRT Toscana, che riproduce l’avviso CSIRT Italia del 20 ottobre identifica le versioni da considerare vulnerabili: Signal Android precedenti alla 8.27.0, Signal iOS precedenti alla 8.30.0 e Signal Desktop precedenti alla 8.29.0. Per la libreria utilizzata direttamente da altri sviluppatori, la soglia è RingRTC 2.72.0. Queste indicazioni consentono agli utenti e agli amministratori di stabilire se l’installazione richieda un aggiornamento, verificando il numero di versione nelle impostazioni dell’applicazione e installando l’ultima release disponibile attraverso i canali ufficiali. Le organizzazioni che utilizzano Signal su dispositivi gestiti centralmente dovrebbero controllare anche le versioni desktop, spesso meno aggiornate rispetto alle applicazioni mobili. Per chi incorpora RingRTC in software propri è invece necessario verificare la dipendenza effettivamente utilizzata nella compilazione, perché aggiornare l’applicazione principale senza sostituire il componente vulnerabile può lasciare irrisolto il problema. Non esistono indicazioni secondo cui sia necessario cambiare password, rigenerare le chiavi di cifratura o eliminare le conversazioni, poiché la vulnerabilità documentata non riguarda il furto delle credenziali né la lettura della cronologia dei messaggi. È tuttavia importante distinguere una versione corretta da un dispositivo effettivamente aggiornato: la presenza della patch nel codice sorgente non protegge automaticamente le installazioni rimaste su release precedenti.

Continua con:

Allarme FBI su Signal: così gli hacker russi rubano le chat senza bucare l’app

Signal porta i backup locali cifrati su iPhone e desktop

La crittografia di Signal resta integra, ma la privacy dipende anche dal microfono

CVE-2026-113380 non permette a un estraneo di attivare liberamente il microfono di qualsiasi utente Signal. Lo scenario descritto richiede che l’attaccante sia già un partecipante alla comunicazione e riesca a provocare la saturazione della coda di gestione della chiamata. Non risultano campagne di sfruttamento confermate e il punteggio CVSS 9.3 descrive la gravità potenziale, non la diffusione effettiva degli attacchi. La distinzione è essenziale per evitare di trasformare una vulnerabilità critica in una presunta capacità di sorveglianza universale. Il caso evidenzia comunque un limite spesso trascurato nelle applicazioni di messaggistica sicura: la crittografia end-to-end protegge il contenuto durante il trasporto, ma non garantisce che tutti i componenti incaricati di acquisire, gestire e interrompere la comunicazione funzionino sempre correttamente. Signal aveva già rafforzato la verifica delle identità con la key transparency e la protezione delle conversazioni attraverso backup cifrati; la vulnerabilità RingRTC riguarda un confine diverso, quello fra l’interfaccia mostrata all’utente e lo stato reale delle periferiche multimediali. Per chi utilizza la piattaforma nelle comunicazioni professionali sensibili, aggiornare l’applicazione rimane la misura necessaria, accompagnata dalle normali verifiche degli indicatori di utilizzo di microfono e videocamera del sistema operativo. La lezione tecnica è che una chiamata cifrata può essere sicura contro l’intercettazione del traffico e, nello stesso tempo, esporre informazioni se il software non esegue correttamente il comando che dovrebbe terminarla.