Signal: un fallo en RingRTC puede mantener abierta la llamada

Una vulnerabilidad en RingRTC, la biblioteca de código abierto con la que Signal gestiona las llamadas de voz y vídeo, puede impedir que una llamada se cierre de verdad cuando el usuario cuelga. El fallo está registrado como CVE-2026-113380, con una puntuación CVSS 4.0 de 9.3 (crítica), y afecta a todas las versiones de RingRTC anteriores a la 2.72.0. En la práctica, quien está al otro lado de la llamada puede seguir recibiendo el audio, y quizá también el vídeo, mientras la víctima cree que ha colgado.

Las cuatro fuentes coinciden en un punto: no hay noticias de explotación real. La CVE no está en el catálogo KEV de CISA y, según Help Net Security, la National Vulnerability Database todavía la marca como pendiente de análisis. El cifrado de extremo a extremo de Signal no está en cuestión: el problema está en cómo la app gestiona el estado de la llamada y su cierre.

Qué ha pasado

MITRE publicó el registro de la CVE el 20 de octubre de 2026. Sin embargo, la corrección ya había salido: según SecurityWeek, RingRTC 2.72.0 se publicó el 4 de septiembre, y The Register confirma que la versión corregida de la biblioteca llegó durante septiembre. El problema lo documentó en GitHub un investigador que firma como Imahian, con una descripción técnica y una prueba de concepto declaradamente conceptual.

The Register señala que en las notas de versión de Signal no queda claro cuándo llegó exactamente la biblioteca corregida a las apps para Android, iOS y escritorio: el historial de Signal Desktop indica septiembre, pero las fechas de las demás plataformas no están claras.

Detalles técnicos

RingRTC está construida sobre WebRTC y gestiona cada llamada con una máquina de estados finitos (FSM) alimentada por una cola de eventos. Según la descripción del investigador, citada por varios medios, colgar en local no era una orden de parada inmediata sino un evento más, colocado al final de la misma cola. Tres elementos hacían posible el ataque:

• también el participante remoto puede añadir eventos a esa cola;
• no había límite para los eventos procedentes del otro lado;
• colgar no tenía prioridad sobre los demás eventos.

Quien ataca inicia una llamada normal de Signal y luego satura la cola con eventos inútiles. Cuando la víctima pulsa el botón de colgar, la solicitud queda atascada detrás de ese tráfico y la llamada, con la pista de audio y quizá la de vídeo, nunca se cierra. The Register lo describe como una denegación de servicio contra la cola de eventos y recoge la clasificación CWE-754 (comprobación inadecuada de condiciones inusuales o excepcionales).

Según Help Net Security, el vector CVSS describe un ataque por la red, de baja complejidad y sin privilegios, con impacto alto en la confidencialidad y la integridad y ninguno en la disponibilidad. El requisito práctico, sin embargo, es que el atacante sea el otro participante de la llamada.

La prueba de concepto en Python, explica Security Affairs, es sintética y no usa la red: compara una cola en la que la orden de colgar puede quedar enterrada con otra en la que los eventos críticos tienen prioridad. Ilustra la lógica, no es un exploit funcional.

Según The Register, la comparación entre versiones muestra que con la 2.72.0 la FSM detecta la solicitud de cierre independientemente de la cola y un tiempo de espera máximo impide que un procesamiento bloqueado retenga la orden de colgar indefinidamente. En términos de MITRE ATT&CK, el efecto corresponde a T1123 (Audio Capture) y T1125 (Video Capture).

Versiones de las apps

La vulnerabilidad afecta a todos los clientes de Signal que incorporan una versión de RingRTC anterior a la 2.72.0, en Android, iOS y escritorio. Solo Security Affairs, citando un aviso del CSIRT Toscana, indica las versiones de las apps afectadas: Signal para Android anterior a la 8.27.0, Signal para iOS anterior a la 8.30.0 y Signal Desktop anterior a la 8.29.0. Las demás fuentes no confirman este dato: en cualquier caso, conviene instalar la última versión disponible.

Impacto para las empresas europeas e italianas

Signal se usa a menudo precisamente para las conversaciones más delicadas: alta dirección, departamentos jurídicos, equipos de seguridad, contactos con socios y proveedores. Una llamada que sigue abierta sin que lo sepa quien ha colgado puede exponer conversaciones confidenciales o datos personales captados después del final aparente de la conversación. Si se confirmara un episodio así, habría que evaluarlo como posible violación de datos personales según el RGPD.

Para las entidades sujetas a NIS2, el caso entra en la gestión de vulnerabilidades de las herramientas de comunicación, incluidas las instaladas en smartphones personales usados para trabajar (BYOD), que a menudo quedan fuera del inventario. En el sector sanitario, donde médicos y personal intercambian información sobre pacientes, se aplica la misma atención.

Qué hacer ya

1. Actualiza Signal en todos los dispositivos que uses para llamadas: smartphones, tabletas y ordenadores. La versión de la app se comprueba en los ajustes, en el apartado de ayuda.
2. Impón una versión mínima en los dispositivos gestionados con las reglas de cumplimiento de apps de tu solución MDM, y pide a quien use dispositivos personales que actualice.
3. Revisa las versiones de Signal Desktop en los ordenadores de la empresa con el inventario de software.
4. Mientras no hayas actualizado, después de cada llamada comprueba que el indicador de llamada ha desaparecido, como sugiere SecurityWeek, y que también se han apagado los indicadores de micrófono y cámara del sistema operativo; si siguen encendidos, cierra la app.
5. Prudencia con las llamadas de contactos desconocidos, sobre todo para quien maneja información sensible: el ataque requiere que el atacante esté en la llamada.

Las fuentes no recogen indicadores de compromiso. Como el tráfico de las llamadas está cifrado, el control más eficaz sigue siendo el de las versiones instaladas.

Cómo ayuda ARXDOME

En los ordenadores Windows, Linux y macOS con el agente de ARXDOME, el inventario de ARX Sentry enumera el software instalado con su versión: así encuentras las instalaciones de Signal Desktop que hay que actualizar. ARX Shield muestra las vulnerabilidades abiertas de cada máquina, útil para seguir el avance de las actualizaciones. Para los smartphones sigue siendo necesaria la solución MDM de la empresa.

Última actualización: 22 de octubre de 2026