Signal, premi “chiudi” ma non chiudi: l’interlocutore potrebbe continuare ad ascoltarti

Un errore critico nella libreria RingRTC di Signal permetteva a un partecipante alla chiamata di impedire la disconnessione, mantenendo attivo il microfono e, in alcune condizioni, anche il flusso video. La vulnerabilità CVE-2026-113380 è stata resa pubblica e valutata 9,3 su 10 secondo CVSS 4.0. Gli sviluppatori di Signal hanno corretto il problema nella versione 2.72.0 di RingRTC, ma le date esatte dell'applicazione della correzione in tutte le versioni di Signal per Android e iOS rimangono incerte.

In Signal, il pulsante di fine chiamata non funzionava, anche quando l’utente cercava di terminare la conversazione. Un errore critico nella libreria RingRTC permetteva a un altro partecipante alla chiamata di impedire la disconnessione. Di conseguenza, il microfono poteva rimanere attivo dopo il tentativo di chiudere la chiamata, e in alcune condizioni anche il flusso video poteva essere mantenuto.

La vulnerabilità CVE-2026-113380 è stata resa pubblica il 20 ottobre 2026 e valutata 9,3 su 10 secondo CVSS 4.0, con un livello di pericolo critico. Il problema interessava tutte le versioni di RingRTC fino alla 2.72.0. La libreria gestisce le chiamate vocali e video in Signal e opera sopra WebRTC, la tecnologia per la trasmissione di suoni e immagini via internet.

La causa risiede nella coda degli eventi, attraverso la quale RingRTC gestisce lo stato della conversazione. Un attaccante, già partecipante alla chiamata, poteva riempire la coda con numerose richieste e rallentare l’elaborazione del comando di terminazione della connessione. A causa del sovraccarico, la coda smetteva di trasmettere tempestivamente il segnale di disconnessione, e il programma poteva non chiudere la connessione e i canali audio ad essa associati.

Per l’attacco non è sufficiente conoscere semplicemente il numero di telefono o inviare un messaggio. All’attaccante è necessario trovarsi all’altro capo di una chiamata attiva e creare un carico sulla meccanica di elaborazione degli eventi. In caso di sfruttamento riuscito, l’interlocutore poteva credere che la conversazione fosse terminata, mentre il suono continuava a essere trasmesso. La possibilità di mantenere il canale video è indicata nella descrizione dell’errore come ipotetica.

Gli sviluppatori di Signal hanno corretto il meccanismo di terminazione delle chiamate in RingRTC 2.72.0. Ora la richiesta di disconnessione viene considerata separatamente dalla coda degli eventi. Inoltre, il codice limita l’attesa della fermata del processo a cinque secondi, per evitare che un gestore bloccato mantenga la connessione indefinitamente. Le modifiche hanno interessato diversi componenti della libreria.

La versione corretta di RingRTC è stata rilasciata già a settembre, circa un mese prima della divulgazione pubblica del problema. Secondo la cronologia di Signal Desktop, la nuova libreria è stata integrata nell’applicazione per computer nello stesso mese. Tuttavia, le date esatte dell’applicazione della correzione in tutte le versioni di Signal per Android e iOS rimangono incerte. Pertanto, il numero della versione vulnerabile non può essere indicato con certezza per ogni piattaforma.

Su GitHub è stato pubblicato un esempio in Python che mostra come una coda sovraccarica possa ritardare la terminazione della chiamata. La dimostrazione spiega il meccanismo del guasto, ma non prova l’ascolto riuscito di utenti reali. Non ci sono ancora messaggi pubblici su attacchi confermati che sfruttano la CVE-2026-113380.

L’errore non ha interessato gli algoritmi di crittografia end-to-end e non ha fornito accesso alla cronologia delle chat o alle password. In precedenza, dispositivi già connessi permettevano di ottenere la cronologia delle chat da messaggeri protetti senza violare la crittografia, anche se il problema attuale è legato a un meccanismo diverso. Si consiglia agli utenti di Signal di installare gli aggiornamenti disponibili sui telefoni e sui computer.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response