Signal, una falla può lasciare il microfono attivo dopo aver chiuso la chiamata

Signal è considerata un’applicazione di messaggistica attenta alla riservatezza, ma anche un servizio progettato con cura può presentare difetti nei componenti che gestiscono le chiamate.

Una vulnerabilità nella libreria open source RingRTC, utilizzata per le comunicazioni vocali e video, può impedire che una conversazione venga terminata correttamente. In determinate circostanze, chi preme il pulsante per chiudere la chiamata potrebbe credere che il collegamento sia interrotto mentre il flusso audio, e potenzialmente quello video, rimane attivo.

Il problema riguarda quindi la gestione della terminazione della chiamata, non la cifratura dei messaggi scambiati. È importante distinguere questa possibilità tecnica dalla prova che qualcuno sia stato effettivamente spiato.

Perché la chiamata su Signal potrebbe non terminare

La vulnerabilità, identificata come CVE-2026-113380 e valutata con un punteggio CVSS di 9,3, interessa le versioni di RingRTC precedenti alla 2.72.0.

Secondo quanto riportato da The Register, un partecipante malevolo può saturare la coda di eventi della macchina a stati finiti, il componente che coordina le operazioni necessarie durante una sessione. Se la coda è sovraccarica, la richiesta di chiusura può non essere elaborata e le procedure che dovrebbero interrompere la comunicazione restano bloccate.

In uno scenario del genere, l’altra persona potrebbe continuare a ricevere l’audio ambientale dopo che l’utente ha chiuso la chiamata. La segnalazione contempla anche la possibilità che il video resti attivo, ma le informazioni pubbliche non chiariscono in quali condizioni ciò avvenga. Per sfruttare il difetto, l’aggressore deve partecipare alla conversazione: non si tratta, in base alle informazioni disponibili, di un accesso indiscriminato a chiamate casuali. Rimane comunque un rischio da considerare quando si comunica con interlocutori non fidati.

Come ridurre il rischio e cosa resta da chiarire

Il problema è stato corretto nel codice di RingRTC attraverso una modifica che consente ai componenti di rilevare la richiesta di terminazione senza dipendere esclusivamente dalla coda degli eventi. È stato inoltre introdotto un limite temporale per evitare che un’elaborazione bloccata impedisca indefinitamente la chiusura. La correzione era stata distribuita prima della divulgazione pubblica, ma non sono stati chiariti con precisione i tempi di integrazione nelle applicazioni Android, iOS e desktop.

La misura prudente per gli utenti è installare l’ultima versione disponibile di Signal su ogni dispositivo utilizzato, senza presumere che l’aggiornamento di un telefono protegga automaticamente anche il computer. La vulnerabilità non compare nel catalogo CISA delle falle sfruttate attivamente e le fonti consultate non riportano casi confermati di abuso. L’assenza di segnalazioni, tuttavia, non dimostra che il rischio sia inesistente.

Il caso ricorda che la privacy digitale dipende anche dai dettagli operativi: la cifratura protegge il contenuto durante la trasmissione, ma non può compensare un comando di chiusura che il software non riesce a completare. Per chi gestisce comunicazioni riservate, la sicurezza richiede quindi attenzione anche al comportamento effettivo delle applicazioni, oltre che alle garanzie dichiarate dai loro sviluppatori.