Se ha detectado una vulnerabilidad crítica (CVE-2026-113380) en la librería de llamadas de Signal, específicamente en las versiones de RingRTC anteriores a la 2.72.0. Este fallo, con una puntuación de severidad de 9.3, podría permitir que un participante malintencionado siga escuchando el audio (y posiblemente viendo el video) incluso después de que el otro usuario haya intentado colgar la llamada.

Una vulnerabilidad crítica en la biblioteca de llamadas de Signal podría permitir que un participante malintencionado en la llamada siga escuchando el audio después de que otro usuario intente colgar.

El fallo, registrado como CVE-2026-113380, afecta a las versiones de RingRTC anteriores a la 2.72.0 y tiene una puntuación de gravedad CVSS de 9.3. El vídeo también podría permanecer activo, aunque la descripción publicada no confirma ese comportamiento.

RingRTC impulsa las funciones de llamadas de voz y vídeo de Signal en sus aplicaciones móviles y de escritorio. El problema afecta a cómo se cierran las llamadas, no a cómo Signal cifra las conversaciones. Una conexión segura puede seguir transmitiendo audio privado si el software no logra cerrarla cuando tú presionas el botón de finalizar llamada.

El problema involucra una cola de eventos interna utilizada por la máquina de estados finitos (FSM) de RingRTC. Este componente rastrea el estado de una llamada y gestiona las instrucciones que controlan su funcionamiento. Un participante malintencionado puede saturar la cola e interferir con los pasos necesarios para finalizar la llamada.

Vulnerabilidad de Signal

Según la descripción de la vulnerabilidad de Imahian en GitHub, un interlocutor remoto puede saturar la cola de eventos y evitar que el cierre local termine completamente la llamada, dejando potencialmente el audio accesible para el otro participante después de que tú creas que la conversación ha terminado.

El ataque requiere que haya un participante malintencionado en la llamada. No se describe como una forma de que un tercero ajeno active el micrófono de cualquier usuario de Signal.

Los informes disponibles también dejan detalles importantes sin resolver, incluyendo qué verían los usuarios afectados en pantalla y cuánto tiempo podría continuar la transmisión no deseada.

La demostración en Python simula cómo los eventos en cola pueden bloquear la gestión del cierre de llamada, pero se ejecuta fuera de línea y no ataca a Signal ni demuestra una explotación en el mundo real.

La solución hace que la terminación de la llamada dependa menos de la cola de eventos sobrecargada. RingRTC 2.72.0 introduce un indicador de terminación separado que las máquinas de estado de llamada y conexión pueden verificar de forma independiente. También añade límites de cinco segundos a las esperas de cierre, permitiendo que la limpieza continúe cuando fallan pasos individuales.

El análisis del parche describe pruebas que cubren colas llenas y notificaciones de aplicación fallidas. Verifican que colgar cierre la conexión simulada, apague el audio saliente y limpie el componente que maneja los paquetes de medios salientes. El cambio refuerza el comportamiento del cierre en lugar de reemplazar el cifrado de Signal.

Si usas Signal, deberías instalar las actualizaciones disponibles en cada teléfono y ordenador que utilices. Los desarrolladores que creen aplicaciones con RingRTC deben usar la versión 2.72.0 o posterior.

Sin embargo, los informes revisados no establecen la primera versión de la aplicación Signal corregida para cada plataforma, por lo que la versión de la biblioteca no debe presentarse como la versión de la aplicación.

Este fallo difiere de los ataques de dispositivos vinculados de Signal reportados anteriormente, que tenían como objetivo el acceso a la cuenta, y de las campañas de suplantación del soporte de Signal, que engañaban a los usuarios para que compartieran detalles de registro. Aquellos incidentes utilizaron métodos de ataque diferentes, no este fallo en el cierre de llamadas.

La cobertura revisada no informó de ninguna explotación conocida. Aun así, la exposición potencial es importante para llamadas sensibles. Actualizar soluciona el riesgo del software subyacente, mientras que comprobar que los indicadores de llamada y micrófono se hayan detenido proporciona una precaución práctica adicional antes de discutir información privada en tu entorno.

Fuentes:
https://cybersecuritynews.com/critical-signal-vulnerability/