El botón rojo no fue la última palabra
Una falla crítica en la infraestructura de llamadas de Signal, específicamente dentro de su biblioteca RingRTC, podía impedir que las llamadas se cerraran por completo, dejando el audio (y potencialmente el video) transmitiéndose al otro participante. Los usuarios que presionaban el botón de colgar podían creer que la llamada había terminado, cuando en realidad su micrófono y cámara permanecían activos. Esta vulnerabilidad, registrada como CVE-2026-113380 con una puntuación CVSS 4.0 de 9.3 (Crítica), exponía un riesgo de vigilancia silenciosa.
La explotación requería que un atacante ya estuviera en la llamada; este no era un mecanismo para que extraños iniciaran escuchas silenciosas o comprometieran cuentas de Signal de manera general. El alcance del error se limitaba estrictamente al cierre de la llamada, lo que significa que los mensajes de Signal, la infraestructura de la cuenta y su robusto cifrado de extremo a extremo permanecieron intactos. No hay evidencia que sugiera que esta falla haya sido explotada en la naturaleza.
El problema subyacente se originó en la cola de la Máquina de Estados Finitos (FSM) de RingRTC, que carecía de limitación de tasa para los eventos entrantes de los pares y de un carril de prioridad para las señales de terminación. Un atacante podía inundar esta cola, bloqueando el evento local de colgar y manteniendo activos los flujos de medios. Signal solucionó el problema el 4 de septiembre, aplicando una corrección para garantizar que las llamadas terminen por completo, seguida de implementaciones silenciosas en clientes de Android, iOS y escritorio antes de que el CVE fuera asignado públicamente el 20 de octubre.
Cómo una cola saturada podía anular el botón de colgar
La biblioteca de llamadas de código abierto de Signal, RingRTC, impulsaba sus llamadas de voz y video en Android, iOS y escritorio. La causa reportada de esta falla crítica, registrada como CVE-2026-113380, se centraba en la cola de eventos de la máquina de estados finitos limitada de RingRTC, que tenía una capacidad de 256 entradas.
Este diseño creó un punto ciego crítico. Los eventos generados por los pares podían inundar fácilmente la cola, mientras que un cuelgue local (el usuario presionando el botón rojo) no tenía prioridad. En cambio, el evento de terminación esperaba en la fila detrás de los eventos de llamada ordinarios, incapaz de forzar el cierre inmediato.
Si el proceso de cierre se estancaba, el flujo del micrófono, y potencialmente el de la cámara, permanecían activos para el otro participante. Un par remoto podía impedir efectivamente que una llamada terminara por completo, dejando el audio y el video fluyendo. Esta vulnerabilidad obtuvo una puntuación CVSS 4.0 de 9.3, lo que indica su gravedad crítica. Aunque es alarmante, no hay evidencia de explotación en la naturaleza, y la falla requería que un participante activo la desencadenara.
Un parche silencioso, luego una advertencia pública
Signal aplicó una corrección a RingRTC el 4 de septiembre, con una entrada de registro de cambios notablemente discreta: “asegurar que las llamadas terminen completamente en casos extremos”. Este parche, que añadió un manejo de cierre independiente y un tiempo de espera forzado, se implementó en las versiones de Android, iOS y escritorio durante las semanas siguientes. Si bien esta actualización silenciosa podría generar preguntas sobre la transparencia, no es prueba de mala fe; el parcheo rápido y no anunciado de vulnerabilidades críticas es una práctica estándar antes de la divulgación pública.
El panorama completo surgió el 20 de octubre, cuando el CVE-2026-113380 se hizo público. Esta vulnerabilidad crítica (CVSS 9.3) confirmó la gravedad de la falla al colgar, validando la implementación silenciosa. RingRTC 2.72.0 y las versiones posteriores de Signal contienen la remediación, evitando que una cola inundada bloquee los eventos de terminación. Para obtener más detalles técnicos sobre la biblioteca, consulte el repositorio signalapp/ringrtc en GitHub.
Los usuarios deben actualizar Signal de inmediato en todas las plataformas (Android, iPhone y escritorio) para asegurarse de que sus llamadas finalicen realmente al pulsar ese botón rojo. Aunque no hay evidencia de explotación en el mundo real y el problema solo afectaba a los participantes activos de la llamada, este incidente subraya un desafío recurrente en la comunicación en tiempo real: crear una función de colgado fiable es más difícil de lo que parece. FaceTime y Google Duo han enfrentado problemas similares.
¿Te está gustando? Recibe uno así en tu bandeja cada mañana.
un correo al día · date de baja en dos clics · sin rastreadores de terceros
La parte más difícil de una llamada puede ser terminarla
Este episodio de RingRTC ofrece un recordatorio contundente: la finalización de una llamada es una transición de estado sorprendentemente compleja y crítica para la seguridad. Se hace eco de incidentes pasados en los que las aplicaciones de comunicación tropezaron en la línea de meta, o incluso antes de que comenzara la carrera. En 2019, FaceTime de Apple sufrió una falla crítica que exponía el audio del dispositivo de un destinatario antes de que contestara, lo que obligó a Apple a desactivar Group FaceTime hasta que se resolviera.
Ese mismo año, el Project Zero de Google identificó vulnerabilidades de conexión de llamadas en Signal para Android, Google Duo y Facebook Messenger. Esos errores anteriores permitían a los llamantes forzar conexiones. Esta falla de RingRTC, sin embargo, representa un problema distinto: un teardown failure (fallo de desconexión) donde el botón de colgar, destinado a ser un interruptor de apagado definitivo, fue anulado por una cola de eventos saturada.
La lección de ingeniería es clara: la configuración y el apagado son fases altamente vulnerables en los protocolos de comunicación en tiempo real. Los pares remotos pueden generar eventos, a menudo de forma impredecible, y no se debe permitir que estos eventos impidan funciones de seguridad críticas. Los desarrolladores deben tratar la hang-up function (función de colgado) como un interruptor de apagado protegido y de alta prioridad. Los usuarios, a su vez, deben cultivar el hábito de verificar los indicadores de micrófono y cámara de su dispositivo móvil después de cada llamada, asegurándose de que la conversación haya terminado realmente.
Preguntas frecuentes
¿Cuál fue la vulnerabilidad de llamadas de Signal?
Una falla en RingRTC podría permitir que alguien que ya está en una llamada sature su cola de eventos y evite que el colgado de un usuario termine completamente la llamada.
¿Podría un extraño usar el error de llamada de Signal para escuchar?
No. La falla requería que un atacante ya fuera participante en una llamada activa; no permitía que extraños al azar escucharan a escondidas.
¿Se vieron afectados los mensajes o el cifrado de Signal?
No. El problema reportado concernía a la desconexión de llamadas y flujos de medios, no al cifrado de mensajes, cuentas o bases de datos de Signal.
¿Cómo pueden los usuarios de Signal protegerse?
Actualice Signal en cada dispositivo a la última versión disponible. En dispositivos móviles, verifique los indicadores de privacidad del micrófono y la cámara después de finalizar una llamada.