Una falla recentemente scoperta nel software di chiamata di Signal potrebbe consentire a un altro partecipante di continuare a sentirti anche dopo che hai riagganciato.
La vulnerabilità, identificata come CVE-2026-113380 ( punteggio CVSS 9.3 su 10), interessa le versioni di RingRTC precedenti alla 2.72.0. RingRTC è la libreria open-source alla base delle funzionalità di chiamata vocale e video di Signal, che fornisce i componenti per le chiamate nelle sue applicazioni per dispositivi mobili e desktop.
La falla riguarda il modo in cui la libreria di chiamate di Signal chiude una chiamata. Non influisce sulla crittografia delle conversazioni. Secondo la descrizione della vulnerabilità pubblicata , un altro partecipante potrebbe sovraccaricare la coda interna degli eventi di una chiamata e interferire con i passaggi che dovrebbero disconnetterla al termine della chiamata.
La principale preoccupazione riguarda l'ascolto indesiderato dopo che qualcuno crede che una conversazione sia terminata. Se un partecipante malintenzionato alla chiamata riuscisse ad attivare la vulnerabilità, potrebbe potenzialmente continuare ad ascoltare audio che l'altra persona non intendeva più condividere. Ciò potrebbe includere un commento casuale, una conversazione con qualcuno nelle vicinanze o altri suoni di sottofondo privati.
La descrizione della vulnerabilità menziona anche che il video potrebbe rimanere attivo, ma non conferma tale comportamento né spiega cosa vedrebbero sullo schermo gli utenti interessati. Non specifica inoltre per quanto tempo potrebbe durare un'eventuale trasmissione continua.
Non sono noti casi di sfruttamento in corso. La vulnerabilità riguarda esclusivamente la modalità di chiusura di una chiamata. Non implica furto di password, account compromessi o esposizione della cronologia dei messaggi che richiederebbe il ripristino della password.
Cosa fare
Gli sviluppatori hanno aggiornato il codice per rendere la procedura di spegnimento più affidabile quando la coda interna di una chiamata è piena o quando un'altra fase di terminazione fallisce.
Installa tutti gli aggiornamenti di Signal disponibili sui tuoi dispositivi. La correzione è disponibile nella libreria RingRTC sottostante, ma le versioni dell'app Signal interessate e quelle che hanno ricevuto per prime la correzione non sono ancora state confermate pubblicamente nelle fonti esaminate.
Personalmente, ho trovato un aggiornamento nel Google Play Store che ha portato il mio Android L'app è stata aggiornata alla versione 8.32.2. Non l'ho trovata sull'Apple App Store, anche se questo potrebbe dipendere dal fatto che ho gli aggiornamenti automatici abilitati . La versione attuale sul mio iPad è la 8.32 (1910). Anche se penso che questo significhi che è stata aggiornata, è difficile confermarlo dal sito web di Signal.
Ho inviato un'email a Signal per chiedere chiarimenti e aggiornerò questo articolo non appena riceverò una risposta.
I truffatori sanno più cose su di te di quanto tu creda.
Malwarebytes Mobile Security Ti protegge da phishing , SMS truffaldini, siti dannosi e altro ancora. Con Scam Guard integrato, basato sull'intelligenza artificiale e disponibile in tempo reale.
