A chamada terminou. O microfone, talvez não.

A CVE-2026-113380 tem uma pontuação de gravidade de 9,3 em 10, elevada mesmo numa escala que distribui números grandes com à-vontade. O que descreve inquieta de forma silenciosa. As chamadas do Signal assentam numa biblioteca de código aberto chamada RingRTC, e lá dentro há uma fila que comporta até 256 eventos pendentes. Outra pessoa na chamada pode saturá-la. O seu "desligar" é apenas mais um evento: espera atrás da enxurrada, chega tarde ou não chega de todo. A janela da chamada fecha-se. A faixa de áudio, e possivelmente a de vídeo, continua viva.

Convém pôr várias coisas na devida proporção. A cifragem não foi tocada, portanto ninguém andava a ler as suas mensagens e ninguém precisa de mudar palavras-passe. Não há sinais de que isto tenha sido usado contra alguém. E não se trata de um desconhecido na internet: quem o conseguir tem de já estar na chamada consigo, o que reduz o caso realista a alguém que se enfiou numa chamada de grupo. A correção do Signal, submetida a 4 de setembro por um dos seus programadores, acrescenta um indicador de terminação à parte que a mecânica da chamada verifica por si, mais um limite de cinco segundos no encerramento para que a desmontagem chegue ao fim mesmo quando algo encrava.

A correção chegou no RingRTC 2.72.0 e nas versões do Signal construídas sobre ele. O Signal não publicou uma tabela arrumada de quais versões do cliente a contêm, por isso a resposta prática é atualizar a aplicação em todos os sítios onde a usa. Telemóvel, tablet e sobretudo o cliente de secretária do Windows, de que as pessoas se esquecem porque fica meses em segundo plano a funcionar sossegado.

Manter as aplicações de secretária atualizadas é precisamente a tarefa aborrecida que uma falha destas castiga. O atualizador de aplicações do Tendvane compara o que tem instalado com o winget e põe tudo em dia numa só passagem, Signal Desktop incluído.