Un gruppo di esperti in sicurezza informatica ha scoperto un nuovo bug in Signal che trasformerebbe qualsiasi smartphone in una microspia. Nello specifico, il software di messaggistica istantanea, apprezzato proprio per i suoi rigidi standard in quanto a privacy, contiene una vulnerabilità in grado di continuare ad ascoltare anche dopo che l’utente ha riagganciato.
Questa vulnerabilità critica è stata identificata con il codice CVE-2026-113380 e un punteggio di CVSS di 9.3 su 10. Inoltre, interessa le versioni RingRTC precedenti alla 2.72.0, la libreria open-source alla base delle funzionalità di chiamata vocale e video dell’applicazione Signal e che fornisce i componenti per le chiamate nelle applicazioni per device mobili e desktop.
Nelle versioni della libreria RingRTC precedenti alla 2.72.0 per Signal, un peer che satura la coda FSM di una chiamata può interferire con la capacità di un riaggancio locale di terminare la chiamata (con la sua traccia audio e forse anche video).
Cosa può permettere il bug di Signal
OpenCVE ha così descritto il bug di Signal in esame: “In una chiamata RingRTC, un peer può sovraccaricare la coda della macchina a stati finiti della libreria, impedendo che una disconnessione locale termini la chiamata e i relativi flussi audio o video. Ciò si traduce in un denial of service per il chiamante, interrompendo la continuità della sessione e potenzialmente bloccando le risorse. La vulnerabilità deriva da una gestione impropria dell’esaurimento delle risorse, classificata come CWE-754“.
Il punteggio CVSS di 9,3 indica un’elevata gravità. Non sono disponibili dati EPSS, ma il rischio rimane significativo a causa della possibilità di sfruttamento da parte di un peer malevolo. La vulnerabilità non è elencata nel catalogo CISA KEV. Il probabile vettore di attacco è remoto, poiché un partecipante alla chiamata compromesso o controllato può orchestrare la saturazione della coda.
Gli esperti hanno anche spiegato che “la vulnerabilità interessa la libreria RingRTC utilizzata da Signal, in particolare tutte le versioni precedenti alla 2.72.0”. Inoltre, hanno avvertito: “Gli utenti che utilizzano la libreria interessata in una qualsiasi delle loro applicazioni sono a rischio“.
Per rimanere al sicuro e correggere il bug devi installare tutti gli aggiornamenti di Signal disponibili sui tuoi dispositivi. Per quanto riguarda le versioni Android gli esperti Malwarebytes hanno confermato l’esistenza di una nuova versione disponibile, la 8.32.2. Tuttavia, per i dispositivi Apple non hanno potuto confermare l’uscita di una nuova versione. Attualmente hanno installata la versione 8.32 (1910).
Recentemente gli utenti Signal sono finiti sotto attacco phishing che tentava di rubare i backup.
