Premi "chiudi", ma la chiamata non si chiude: il caso Signal

La crittografia di Signal non è stata violata: a cedere è stato il meccanismo che chiude la chiamata.

Che cosa è successo

Il 20 ottobre 2026 è stata pubblicata la vulnerabilità CVE-2026-113380 [1]. Riguarda RingRTC, la libreria open source su cui Signal costruisce le chiamate vocali e video, basata sulla tecnologia WebRTC [2]. Sono interessate tutte le versioni precedenti alla 2.72.0 [1].

Il difetto è questo: chi si trova dall'altra parte di una chiamata può mandare un flusso eccessivo di eventi e saturare la coda con cui la libreria gestisce lo stato della chiamata. Il comando di "chiudi" resta in attesa dietro quel rumore, e la chiamata (con il suo microfono, e forse anche la telecamera) non viene chiusa [1][2][3].

Come funziona, in parole semplici

Il problema è di coda, non di segreti: il comando di chiusura veniva trattato come tutti gli altri eventi.

Immagina uno sportello con una sola fila. Se qualcuno riempie la fila di richieste inutili, la richiesta importante ("chiudi la chiamata") aspetta il suo turno, e intanto il canale resta aperto. La fila ha una capienza fissa: nel codice di Signal ogni coda di eventi della chiamata è limitata a 256 voci [7]. Chi è dall'altra parte può riempirla con una raffica di eventi, e il comando di chiusura finisce in fondo. Il record CVE lo descrive così: un peer che satura la coda degli eventi della chiamata può interferire con la chiusura locale, compresa quella della traccia audio e, forse, video [1]. La debolezza è classificata come CWE-754, cioè controllo inadeguato di condizioni insolite o eccezionali [4].

Il punteggio indicato nel record è 9,3 su 10 (CVSS 4.0), con attacco via rete, bassa complessità e nessun privilegio richiesto [2][4].

Che cosa non è successo

Dalle fonti consultate non risultano attacchi reali, né accesso a messaggi o password.

• Esiste una dimostrazione su GitHub, dichiarata concettuale: spiega il meccanismo ma non prova l'ascolto riuscito di utenti reali [4][5].
• Non risultano segnalazioni pubbliche di sfruttamento attivo [4][5].
• Il record CVE non indica alcun impatto sulla crittografia end-to-end; fonti giornalistiche lo escludono espressamente, insieme a cronologia chat e password [5][6].

La correzione

La correzione separa la richiesta di chiusura dalla coda, così non può più restare bloccata dietro il traffico.

La correzione è nel commit di Signal intitolato "Ensure calls terminate completely in corner cases" [7]. Il codice registra la richiesta di terminazione con un indicatore dedicato e la controlla indipendentemente dagli altri eventi in coda [7][8]. Aggiunge anche un limite di attesa: la chiusura aspetta che la gestione degli eventi si fermi per al massimo cinque secondi, poi prosegue comunque con lo smontaggio della chiamata, anche se qualche passaggio fallisce [7]. La versione 2.72.0 di RingRTC include la modifica [1][3]. Secondo SecurityWeek è stata rilasciata il 4 settembre 2026, circa un mese e mezzo prima della divulgazione pubblica [3].

Che cosa fare

Aggiorna Signal e, dopo "chiudi", controlla anche l'indicatore di sistema del microfono.

• Aggiorna Signal. Secondo l'avviso di ACN e CSIRT Italia sono vulnerabili Signal Android precedente alla 8.27.0, Signal iOS precedente alla 8.30.0 e Signal Desktop precedente alla 8.29.0 [9]. Servono quelle versioni o successive.
• Controlla l'indicatore di sistema, non solo l'app. Il ricercatore che ha segnalato il problema descrive una chiamata in cui la vittima crede che sia finita mentre l'audio continua a fluire [2]: la schermata di Signal da sola non basta come prova. Su iPhone (iOS 14 o successivo) il puntino arancione indica che un'app usa il microfono, quello verde la fotocamera, anche insieme al microfono [10]. Su Android 12 o successivo microfono e fotocamera hanno un indicatore verde, e toccandolo si vede quale app li sta usando [11]. Se resta acceso dopo la fine della chiamata, chiudi forzatamente l'app. Su computer l'indicatore dipende dal sistema operativo.
• Chi integra RingRTC nei propri progetti deve usare la versione 2.72.0 o successiva [1][8].

Che cosa resta da verificare

L'elenco delle versioni delle app proviene da ACN e CSIRT Italia [9]. Non abbiamo trovato un avviso pubblicato da Signal che lo confermi. Restano aperti anche la valutazione del punteggio sulla pagina NVD e l'eventuale sfruttamento reale: per ora non risultano segnalazioni pubbliche [4][5].

Note

• Il record CVE non descrive l'impatto sull'utente finale: le conseguenze pratiche (audio ancora attivo, video possibile) sono dedotte dalla descrizione tecnica e riportate dalle fonti giornalistiche.
• "Peer" indica l'altro partecipante alla chiamata. L'attacco non richiede solo il numero di telefono: serve una chiamata attiva.
• Il punteggio CVSS 9,3 compare nel record CVE; la valutazione sulla pagina NVD non è stata verificata al momento della stesura.
• Il numero di 256 voci della coda e il limite di cinque secondi sono ricavati direttamente dal codice del commit di correzione [7], non da fonti giornalistiche.
• Gli indicatori di microfono e fotocamera valgono per iOS 14 e successivi [10] e per Android 12 e successivi [11]; su alcuni dispositivi Android l'aspetto può variare.

Riferimenti

• [1] MITRE / CVE Program, CVE-2026-113380 (record pubblicato il 20/10/2026). cve.org
• [2] Help Net Security, Signal flaw could expose audio and video even after users hang up, 22/10/2026.
• [3] SecurityWeek, Signal Vulnerability Lets Malicious Callers Block Hang-Ups, 22/10/2026.
• [4] CISO Brief, Signal Calling Bug Could Leave Microphones and Cameras Active After Hangup, 21/10/2026.
• [5] Red Hot Cyber, L. Zullo, Signal, premi "chiudi" ma non chiudi: l'interlocutore potrebbe continuare ad ascoltarti, 23/10/2026.
• [6] SQ Magazine, Signal Fixes Critical RingRTC Flaw That Could Keep Audio On After Hangup, ottobre 2026.
• [7] GitHub, signalapp/ringrtc, commit 4b1b6fa "Ensure calls terminate completely in corner cases".
• [8] GitHub, signalapp/ringrtc, confronto v2.71.0...v2.72.0 (indicato nel record CVE).
• [9] Agenzia per la cybersicurezza nazionale (ACN), Risolta vulnerabilità in Signal RingRTC, avviso CSIRT Italia, ottobre 2026.
• [10] Apple Support, About the orange and green indicators in your iPhone status bar.
• [11] Android Open Source Project, Privacy indicators, source.android.com.

Avvertenza

Questa edizione ha scopo divulgativo. Le informazioni sono verificate su fonti pubbliche al 23 ottobre 2026 e possono cambiare. Non sono state trovate comunicazioni ufficiali di Signal sul tema: l'elenco delle versioni vulnerabili proviene dall'avviso di ACN e CSIRT Italia [9], mentre i punti sulla crittografia e sul rilascio sono attribuiti alle fonti giornalistiche citate. Signal è un marchio dei rispettivi titolari.