La chiamata è finita. Il microfono, forse no.

CVE-2026-113380 porta un punteggio di gravità di 9,3 su 10, alto anche su una scala che distribuisce numeri grossi con una certa larghezza. Quello che descrive inquieta in modo silenzioso. Le chiamate di Signal poggiano su una libreria open source chiamata RingRTC, e al suo interno c'è una coda che tiene fino a 256 eventi in attesa. Un'altra persona nella chiamata può saturarla. Il vostro "riaggancia" è soltanto un altro evento: resta in fila dietro l'ondata, arriva in ritardo, oppure non arriva mai. La finestra della chiamata si chiude. La traccia audio, e forse quella video, resta viva.

Alcune cose vanno rimesse nelle giuste proporzioni. La cifratura non è toccata, quindi nessuno stava leggendo i vostri messaggi e nessuno deve cambiare password. Non ci sono segnali che la falla sia stata usata contro qualcuno. E non si tratta di uno sconosciuto su internet: chi la sfrutta deve già essere in chiamata con voi, il che riduce il caso realistico a qualcuno che si è infilato in una chiamata di gruppo. La correzione di Signal, depositata il 4 settembre da uno dei suoi sviluppatori, aggiunge un indicatore di terminazione separato che la macchina della chiamata verifica per conto proprio, più un limite di cinque secondi sullo spegnimento perché la chiusura arrivi in fondo anche quando qualcosa si inceppa.

La correzione è arrivata in RingRTC 2.72.0 e nelle versioni di Signal costruite sopra. Signal non ha pubblicato una tabella ordinata di quali versioni del client la contengano, quindi la risposta pratica è aggiornare l'app ovunque la usiate. Telefono, tablet e soprattutto il client desktop per Windows, che si dimentica perché resta mesi in secondo piano a funzionare tranquillo.

Tenere aggiornate le applicazioni desktop è esattamente la noiosa incombenza che un bug del genere punisce. L'aggiornatore di app di Tendvane confronta ciò che avete installato con winget e porta tutto a livello in un passaggio solo, Signal Desktop compreso.