Signal: falla in RingRTC può tenere aperta la chiamata

Una vulnerabilità in RingRTC, la libreria open source con cui Signal gestisce le chiamate vocali e video, può impedire che una chiamata si chiuda davvero quando l’utente riaggancia. La falla è registrata come CVE-2026-113380, con punteggio CVSS 4.0 di 9.3 (critico), e riguarda tutte le versioni di RingRTC precedenti alla 2.72.0. In pratica chi è dall’altra parte della chiamata può continuare a ricevere l’audio, e forse anche il video, mentre la vittima è convinta di aver chiuso.

Le quattro fonti concordano su un punto: non ci sono notizie di sfruttamento reale. La CVE non è nel catalogo KEV della CISA e, secondo Help Net Security, il National Vulnerability Database la indica ancora «in attesa di analisi». La cifratura end-to-end di Signal non è in discussione: il problema sta nel modo in cui l’app gestisce lo stato della chiamata e la sua chiusura.

Cosa è successo

Il record della CVE è stato pubblicato da MITRE il 20 ottobre 2026. La correzione era però già uscita: secondo SecurityWeek RingRTC 2.72.0 è stata rilasciata il 4 settembre, e The Register conferma che la versione corretta della libreria è arrivata nel corso di settembre. Il problema è stato documentato su GitHub da un ricercatore che si firma Imahian, con una descrizione tecnica e un proof of concept dichiaratamente concettuale.

The Register segnala che dalle note di rilascio di Signal non si capisce con precisione quando la libreria corretta sia arrivata nelle app per Android, iOS e desktop: la cronologia di Signal Desktop indica settembre, per le altre piattaforme le date non sono chiare.

Dettagli tecnici

RingRTC è costruita su WebRTC e gestisce ogni chiamata con una macchina a stati finiti (FSM) alimentata da una coda di eventi. Secondo la descrizione del ricercatore, riportata da più testate, il riaggancio locale non era un comando di arresto immediato ma un evento come gli altri, messo in fondo alla stessa coda. Tre elementi rendevano possibile l’attacco:

• anche il partecipante remoto può inserire eventi in quella coda;
• non c’era un limite agli eventi provenienti dall’altra parte;
• il riaggancio non aveva priorità rispetto agli altri eventi.

Chi conduce l’attacco avvia una normale chiamata Signal e poi satura la coda con eventi inutili. Quando la vittima preme il pulsante per chiudere, la richiesta resta bloccata dietro questo traffico e la chiamata, con la traccia audio ed eventualmente quella video, non viene mai chiusa. The Register lo descrive come un denial of service sulla coda degli eventi e riporta la classificazione CWE-754 (controllo inadeguato di condizioni insolite o eccezionali).

Secondo Help Net Security il vettore CVSS indica un attacco dalla rete, di bassa complessità e senza privilegi, con impatto alto su riservatezza e integrità e nessun impatto sulla disponibilità. Il presupposto concreto, però, è che l’attaccante sia l’altro partecipante della chiamata.

Il proof of concept in Python, spiega Security Affairs, è sintetico e non usa la rete: confronta una coda in cui il riaggancio può restare sepolto con una in cui gli eventi critici hanno la precedenza. Illustra la logica, non è un exploit funzionante.

Secondo The Register, il confronto tra le versioni mostra che con la 2.72.0 la FSM riconosce la richiesta di chiusura indipendentemente dalla coda e un timeout impedisce che un’elaborazione bloccata trattenga il riaggancio all’infinito. In termini MITRE ATT&CK l’effetto corrisponde a T1123 (Audio Capture) e T1125 (Video Capture).

Versioni delle app

La vulnerabilità tocca ogni client Signal che incorpora una versione di RingRTC precedente alla 2.72.0, su Android, iOS e desktop. Solo Security Affairs, citando un avviso del CSIRT Toscana, indica le versioni delle app colpite: Signal per Android prima della 8.27.0, Signal per iOS prima della 8.30.0, Signal Desktop prima della 8.29.0. Il dato non è confermato dalle altre fonti: in ogni caso conviene installare l’ultima versione disponibile.

Impatto per le aziende europee e italiane

Signal è usato spesso proprio per le conversazioni più delicate: vertici aziendali, uffici legali, funzioni di sicurezza, contatti con partner e fornitori. Una chiamata che resta aperta all’insaputa di chi ha riagganciato può esporre discussioni riservate o dati personali captati dopo la fine apparente della conversazione. Se un episodio del genere venisse accertato, andrebbe valutato come possibile violazione di dati personali secondo il GDPR.

Per i soggetti NIS2 il caso rientra nella gestione delle vulnerabilità degli strumenti di comunicazione, compresi quelli installati su smartphone personali usati per lavoro (BYOD), che spesso sfuggono all’inventario. Nella sanità, dove medici e personale si scambiano informazioni sui pazienti, vale la stessa attenzione.

Cosa fare subito

1. Aggiorna Signal su tutti i dispositivi usati per le chiamate: smartphone, tablet e computer. La versione dell’app si controlla nelle impostazioni, alla voce di aiuto.
2. Imponi una versione minima sui dispositivi gestiti, con le regole di conformità delle app della tua soluzione MDM, e chiedi a chi usa dispositivi personali di aggiornare.
3. Controlla le versioni di Signal Desktop sui computer aziendali con l’inventario del software.
4. Finché non hai aggiornato, dopo ogni chiamata verifica che l’indicatore di chiamata sia sparito, come suggerisce SecurityWeek, e che si siano spenti anche gli indicatori di microfono e fotocamera del sistema operativo; se restano accesi, chiudi l’app.
5. Prudenza con le chiamate da contatti sconosciuti, soprattutto per chi tratta informazioni sensibili: l’attacco richiede che l’attaccante sia nella chiamata.

Le fonti non riportano indicatori di compromissione. Dato che il traffico delle chiamate è cifrato, il controllo più efficace resta quello sulle versioni installate.

Come aiuta ARXDOME

Sui computer Windows, Linux e macOS con l’agent di ARXDOME, l’inventario di ARX Sentry elenca il software installato con la sua versione: così trovi le installazioni di Signal Desktop da aggiornare. ARX Shield mostra per ogni macchina le vulnerabilità aperte, utile per seguire l’avanzamento degli aggiornamenti. Per gli smartphone resta necessaria la soluzione MDM dell’azienda.

Ultimo aggiornamento: 22 ottobre 2026