Colgar ya no basta: Signal sigue escuchando secretos ajenos incluso después de terminar la llamada.

En Signal, el botón de colgar podía no funcionar, incluso cuando el usuario intentaba finalizar la llamada. Un error crítico en la biblioteca RingRTC permitía a otro participante de la llamada impedir la desconexión. Como resultado, el micrófono potencialmente permanecía activo después del intento de colgar, y en algunas condiciones también podía mantenerse la transmisión de vídeo.

La vulnerabilidad CVE-2026-113380 se divulgó el 20 de octubre de 2026 y se puntuó con 9,3 sobre 10 según CVSS 4.0, asignándole nivel crítico. El problema afectaba a todas las versiones de RingRTC anteriores a la 2.72.0. La biblioteca es responsable de las llamadas de voz y vídeo en Signal y funciona sobre WebRTC, la tecnología de transmisión de audio y vídeo por Internet.

La causa reside en la cola de eventos a través de la cual RingRTC gestiona el estado de la llamada. Un atacante ya presente en la llamada podía saturar la cola con numerosas solicitudes y frenar el procesamiento del comando de finalización de la conexión. Debido al desbordamiento, la cola dejaba de procesar a tiempo la señal de desconexión y la aplicación podía no cerrar la conexión ni los canales de audio asociados.

Para el ataque no basta con conocer el número de teléfono o enviar un mensaje. El atacante potencial debe estar al otro extremo de una llamada activa y crear carga en el mecanismo de procesamiento de eventos. Si la explotación tiene éxito, la otra persona podría pensar que la conversación ha terminado, aunque el audio siguiera transmitiéndose. La posibilidad de mantener el canal de vídeo se menciona en la descripción del error como supuesta.

Los desarrolladores de Signal corrigieron el mecanismo de finalización de llamadas en RingRTC 2.72.0. Ahora la petición de desconexión se considera por separado de la cola de eventos sobrecargada. Además, el código limita la espera para detener el proceso a cinco segundos, de modo que un controlador bloqueado no mantenga la conexión indefinidamente. Los cambios afectaron a varios componentes de la biblioteca.

La versión corregida de RingRTC se publicó ya en septiembre, aproximadamente un mes antes de la divulgación pública del problema. Según el historial de Signal Desktop, la nueva biblioteca llegó a la aplicación de escritorio ese mismo mes. Sin embargo, las fechas exactas de la disponibilidad de la corrección en todas las versiones de Signal para Android e iOS siguen sin estar claras. Por tanto, todavía no se puede nombrar con confianza el número de la versión vulnerable de la propia aplicación en cada plataforma.

En GitHub se publicó un ejemplo conceptual en Python que muestra cómo una cola saturada puede retrasar la finalización de la llamada. La demostración explica el mecanismo del fallo, pero no prueba la escucha efectiva de usuarios reales. No hay informes públicos de ataques confirmados que utilicen CVE-2026-113380, y en el catálogo de vulnerabilidades explotadas activamente de CISA no figura ninguna entrada.

El error no afectó a los algoritmos de cifrado de extremo a extremo ni otorgó acceso al historial de mensajes o a contraseñas. Anteriormente, los dispositivos conectados ya permitían obtener conversaciones de mensajerías protegidas sin quebrantar la criptografía, aunque el problema actual está relacionado con otro mecanismo. Se recomienda a los usuarios de Signal instalar las actualizaciones disponibles en teléfonos y ordenadores.