Un fallo recientemente descubierto en el software de llamadas de Signal podría permitir que otro participante siga escuchándote después de que cuelgues.
La vulnerabilidad, identificada como CVE-2026-113380 ( puntuación CVSS de 9,3 sobre 10), afecta a las versiones de RingRTC anteriores a la 2.72.0. RingRTC es la biblioteca de código abierto que sustenta la funcionalidad de llamadas de voz y vídeo de Signal, y proporciona componentes de llamada para sus aplicaciones móviles y de escritorio.
El fallo afecta a cómo la biblioteca de llamadas de Signal finaliza una llamada. No afecta a cómo cifra las conversaciones. Según la descripción de la vulnerabilidad publicada , otro participante podría saturar la cola interna de eventos de una llamada e interferir con los pasos que deberían desconectarla al finalizar la llamada.
La principal preocupación es la escucha no deseada después de que alguien cree que una conversación ha terminado. Si un participante malintencionado en una llamada logra activar la vulnerabilidad, podría seguir escuchando audio que la otra persona ya no tenía intención de compartir. Esto podría incluir un comentario casual, una conversación con alguien cercano u otros sonidos ambientales privados.
La descripción de la vulnerabilidad también menciona que el vídeo podría permanecer activo, pero no confirma este comportamiento ni explica qué verían los usuarios afectados en pantalla. Tampoco especifica cuánto tiempo podría durar la transmisión continua.
No se conocen casos de explotación en la práctica. La vulnerabilidad afecta únicamente al proceso de finalización de una llamada. No implica el robo de contraseñas, el compromiso de cuentas ni la exposición del historial de mensajes, lo que requeriría restablecer la contraseña.
¿Qué hacer?
Los desarrolladores actualizaron el código para que el apagado sea más resistente cuando la cola interna de una llamada está llena o falla algún otro paso de terminación.
Instala las actualizaciones de Signal disponibles en tus dispositivos. La solución está disponible en la biblioteca RingRTC subyacente, pero las versiones de la aplicación Signal afectadas y las primeras en recibir la corrección aún no se han confirmado públicamente en el código fuente revisado.
Personalmente, encontré una actualización en Google Play Store que trajo mi Android La aplicación se actualizó a la versión 8.32.2. No la encontré en la App Store de Apple, aunque esto podría deberse a que tengo las actualizaciones automáticas activadas . La versión actual en mi iPad es la 8.32 (1910). Si bien creo que esto significa que está completamente parcheada, es difícil confirmarlo en el sitio web de Signal.
Me he puesto en contacto con Signal por correo electrónico para solicitar una aclaración y actualizaré este artículo cuando reciba respuesta.
Los estafadores saben más de ti de lo que crees.
Malwarebytes Mobile Security Te protege del phishing , mensajes de texto fraudulentos, sitios web maliciosos y mucho más. Incluye protección anticams con inteligencia artificial en tiempo real.
