In questo articolo Indice dei contenuti 2 sezioni
Un nuovo bug di Signal rischia di trasformare qualsiasi smartphone in una vera e propria microspia. A individuarlo è stato un gruppo di esperti in sicurezza informatica, che ha trovato nell’app di messaggistica istantanea, apprezzata proprio per i suoi standard molto rigidi in fatto di privacy, una falla capace di continuare ad ascoltare anche dopo che l’utente ha riagganciato. Un paradosso piuttosto scomodo per un servizio che ha costruito la propria reputazione sulla riservatezza delle conversazioni.
La vulnerabilità è stata classificata come critica e identificata con il codice CVE 2026 113380, accompagnato da un punteggio CVSS di 9,3 su 10. Il problema riguarda le versioni di RingRTC precedenti alla 2.72.0, cioè la libreria open source su cui poggiano le funzioni di chiamata vocale e video di Signal. È proprio questo componente a fornire gli strumenti necessari per gestire le telefonate, sia nelle applicazioni per dispositivi mobili sia in quelle pensate per i computer desktop.
Come funziona la falla nelle chiamate di Signal
Il meccanismo, spiegato in parole semplici, è abbastanza lineare. Durante una chiamata uno dei partecipanti può saturare la cosiddetta coda FSM, ovvero la coda della macchina a stati finiti che regola il funzionamento interno della libreria. Quando questa coda viene sovraccaricata, il riaggancio fatto dall’utente non riesce più a chiudere davvero la conversazione. In pratica la traccia audio, e forse anche quella video, può restare attiva nonostante chi ha chiamato sia convinto di aver terminato la telefonata. Ed è qui che il telefono rischia di diventare una microspia a tutti gli effetti.
Nella descrizione tecnica del bug di Signal si parla di un denial of service ai danni del chiamante, che vede compromessa la continuità della sessione con il possibile blocco delle risorse del dispositivo. All’origine di tutto c’è una gestione impropria dell’esaurimento delle risorse, catalogata come CWE 754. Il punteggio di 9,3 segnala una gravità elevata. Non sono disponibili dati EPSS sulla probabilità di sfruttamento, ma il rischio viene comunque considerato significativo perché basta un interlocutore malevolo per innescare il problema. La falla, almeno per ora, non compare nel catalogo CISA KEV.
Il vettore d’attacco più probabile è remoto. Un partecipante alla chiamata compromesso oppure controllato da un malintenzionato può orchestrare la saturazione della coda senza dover mettere le mani sul telefono della vittima. Gli esperti hanno precisato che sono coinvolte tutte le versioni di RingRTC antecedenti alla 2.72.0 e hanno lanciato un avvertimento piuttosto chiaro. Chiunque utilizzi la libreria interessata in una qualsiasi delle proprie applicazioni è da considerarsi a rischio, quindi il discorso non si limita necessariamente alla sola app di messaggistica.
Aggiornamenti disponibili su Android e dispositivi Apple
Per mettersi al riparo e correggere il difetto la strada indicata è quella di installare tutti gli aggiornamenti di Signal disponibili sui propri dispositivi. Sul fronte Android gli esperti hanno confermato il rilascio di una nuova versione dell’app, la 8.32.2. Diverso il discorso per i prodotti Apple, dove non è stato possibile verificare l’arrivo di una release correttiva. Sugli apparecchi della Mela risulta al momento installata la versione 8.32 (1910), per cui conviene tenere d’occhio lo store e controllare periodicamente la presenza di nuove versioni.
Non si tratta dell’unico grattacapo recente per chi usa la piattaforma. Nelle scorse settimane gli utenti di Signal sono finiti nel mirino di un attacco di phishing che tentava di sottrarre i loro backup.
Fonte: TecnoAndroid