La llamada terminó. El micrófono, quizá no.

CVE-2026-113380 lleva una puntuación de gravedad de 9,3 sobre 10, alta incluso en una escala que reparte cifras grandes con soltura. Lo que describe inquieta de una manera callada. Las llamadas de Signal se apoyan en una biblioteca de código abierto llamada RingRTC, y dentro hay una cola que admite hasta 256 eventos pendientes. Otra persona de la llamada puede saturarla. Tu "colgar" es solo un evento más: espera detrás de la avalancha, llega tarde o no llega nunca. La ventana de la llamada se cierra. La pista de audio, y puede que la de vídeo, sigue viva.

Conviene poner varias cosas en su justa medida. El cifrado no está tocado, así que nadie leía tus mensajes y nadie tiene que cambiar contraseñas. No hay indicios de que esto se haya usado contra nadie. Y no se trata de un desconocido en internet: quien lo consiga tiene que estar ya en la llamada contigo, lo que reduce el caso realista a alguien que se coló en una llamada de grupo. El arreglo de Signal, registrado el 4 de septiembre por uno de sus desarrolladores, añade un indicador de terminación aparte que la maquinaria de la llamada comprueba por su cuenta, más un límite de cinco segundos en el cierre para que el desmontaje termine aunque algo se atasque.

La corrección llegó en RingRTC 2.72.0 y en las versiones de Signal construidas sobre ella. Signal no ha publicado una tabla clara de qué versiones del cliente la llevan, así que la respuesta práctica es actualizar la aplicación en todos los sitios donde la uses. Teléfono, tableta y sobre todo el cliente de escritorio de Windows, del que uno se olvida porque lleva meses funcionando tranquilo en segundo plano.

Mantener al día las aplicaciones de escritorio es justo la tarea aburrida que un fallo así castiga. El actualizador de aplicaciones de Tendvane compara lo que tienes instalado con winget y lo pone todo al día en una sola pasada, Signal Desktop incluido.