Una vulnerabilidad en Signal podría permitir que un participante malicioso siguiera recibiendo audio incluso después de que la otra persona finalizara una llamada. El problema afecta a la biblioteca RingRTC, responsable de las llamadas de voz y video de la aplicación, y se divulgó públicamente el 20 de octubre de 2026, cuando ya había una corrección disponible.
El fallo, identificado como CVE-2026-113380, recibió una clasificación crítica, con una puntuación de 9,3 en una escala de 10. Según la alerta divulgada por el CSIRT italiano y reproducida por el CSIRT Toscana, la vulnerabilidad podría impedir el cierre adecuado de una conexión, exponiendo conversaciones y sonidos del entorno sin que el usuario se diera cuenta.
El problema está en el procesamiento de los eventos internos que controlan el estado de una llamada. Un participante malicioso podría sobrecargar la cola de eventos de RingRTC, haciendo que una solicitud de finalización de la llamada no se ejecutara correctamente. Así, la persona que finalizó la conversación podría creer que la comunicación había terminado, aunque la transmisión de audio siguiera activa.
La documentación técnica también señala la posibilidad de que la transmisión de video continúe, pero ese comportamiento no se confirmó de la misma forma que el riesgo relacionado con el audio. Tampoco está establecido durante cuánto tiempo una conexión podría permanecer abierta en esas condiciones.
La vulnerabilidad no representa una ruptura de la criptografía de Signal. El riesgo está en la gestión de la llamada: incluso con el contenido protegido durante la transmisión, una conexión que debería haberse finalizado podría seguir enviando información al otro participante.
La corrección se incorporó a la versión 2.72.0 de RingRTC. El código publicado en el repositorio de Signal introduce una señalización específica para las solicitudes de finalización y un límite de espera de cinco segundos, lo que evita que fallos en el procesamiento de los eventos impidan indefinidamente la finalización de la llamada.
Qué versiones de Signal corrigen la vulnerabilidad
La alerta técnica publicada el 20 de octubre identifica las versiones vulnerables en los tres principales entornos en los que Signal está disponible.
En Android, se ven afectadas las versiones anteriores a la 8.27.0. En iOS, el límite informado es la versión 8.30.0, mientras que en Signal Desktop el problema afecta a las versiones anteriores a la 8.29.0. La biblioteca RingRTC, utilizada por las aplicaciones, debe estar en la versión 2.72.0 o posterior.
Esas referencias figuran en el comunicado de seguridad reproducido por el CSIRT Toscana. Sin embargo, el artículo publicado por The Register el 21 de octubre señaló que las fechas exactas de incorporación de la biblioteca corregida en cada plataforma no estaban completamente aclaradas en las notas públicas de Signal.
Por eso, la recomendación es actualizar Signal a la versión más reciente disponible, tanto en dispositivos móviles como en computadoras, en lugar de depender solo de los números mínimos indicados en la alerta.
Hasta la divulgación de la información técnica, no había evidencias públicas de explotación de la vulnerabilidad en ataques reales. El escenario descrito representa una posibilidad técnica de exposición de información, no una confirmación de que las llamadas de los usuarios hayan sido interceptadas o mantenidas abiertas clandestinamente.
