Vulnerabilità CVE-2026-113380: criticità nelle chiamate Signal

La vulnerabilità CVE-2026-113380 riguarda la libreria RingRTC utilizzata da Signal. Un peer che satura la coda dello stato della macchina a stati (FSM) di una chiamata può interferire con la capacità di disconnessione locale, impedendo che la chiamata (con il suo audio e forse anche il video) venga interrotta correttamente.

La gravità è classificata come critica con un punteggio CVSS di 9,3. Secondo i segnali su X, sono stati registrati 3 post nelle ultime 24 ore con un totale di 41 interazioni. Il testo più citato indica che un bug critico in Signal permetteva all'altro partecipante a una chiamata di continuare ad ascoltare dopo la disconnessione. Il flooding della coda degli eventi della chiamata poteva bloccare la disconnessione, lasciando attivo il microfono e forse anche la telecamera. Signal ha corretto CVE-2026-113380 su Android a settembre. Non sono noti attacchi sfruttati attivamente.

In difesa, è fondamentale applicare tempestivamente la patch e aggiornare alla versione 2.72.0 o successiva della libreria RingRTC. È inoltre consigliato monitorare le comunicazioni per eventuali anomalie nelle chiamate e verificare che i dispositivi siano aggiornati con le ultime correzioni di sicurezza.