Il 20 ottobre 2026 il CSIRT Italia, il centro nazionale che fa capo all’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL03/261020/CSIRT-ITA su una vulnerabilità di Signal. Riguarda RingRTC, la libreria che gestisce le chiamate audio e video dell’app di messaggistica. Secondo l’alert la gravità è «critica» e l’impatto sistemico è «alto», con un punteggio di 65.76. La vulnerabilità è identificata come CVE-2026-113380.
Chi è coinvolto
Signal ha già rilasciato gli aggiornamenti che correggono il problema. Sono interessate le versioni precedenti a quelle indicate qui sotto:
- RingRTC, versioni precedenti alla 2.72.0
- Signal Android, versioni precedenti alla 8.27.0
- Signal iOS, versioni precedenti alla 8.30.0
- Signal Desktop, versioni precedenti alla 8.29.0
RingRTC è un middleware, cioè un componente software che sta tra l’app e le funzioni di comunicazione e si occupa di far funzionare le chiamate. Per questo il difetto è presente in tutte e tre le versioni dell’app.
Che rischio c’è
L’alert classifica la vulnerabilità come «Information Disclosure», una fuga di informazioni. Secondo il CSIRT Italia, un utente malintenzionato potrebbe impedire la corretta chiusura di una chiamata. In questo caso i flussi audio e video resterebbero attivi anche quando la chiamata sembra conclusa.
La conseguenza descritta dall’alert è che informazioni sensibili potrebbero essere esposte «all’insaputa dell’utente vittima». In pratica, chi ha terminato una conversazione potrebbe credere di non essere più in collegamento, mentre l’altra parte continuerebbe a ricevere audio e video.
La tabella dell’alert non riporta indicazioni su prove di concetto o su sfruttamenti della vulnerabilità. Il CSIRT Italia pubblica comunque il bollettino con livello di gravità critico, e per questo invita ad agire.
Cosa fare
L’azione di mitigazione indicata dall’alert è una sola: dove non l’abbiano già fatto, gli utenti devono aggiornare tempestivamente le versioni vulnerabili all’ultima release disponibile. Vale per Signal su Android, su iOS e su Desktop.
Due verifiche di buon senso possono aiutare:
- controllare nello store del telefono o nelle impostazioni dell’app che gli aggiornamenti automatici siano attivi e che la versione installata sia almeno quella indicata per il proprio dispositivo;
- nelle aziende e negli studi che usano Signal sui computer di lavoro, avvisare il fornitore IT o il responsabile dei sistemi, perché verifichi che anche la versione Desktop sia aggiornata.
I dettagli tecnici della correzione sono consultabili nel repository pubblico di RingRTC, dove è disponibile il confronto tra la versione 2.71.0 e la 2.72.0.
Fonte: alert AL03/261020/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 20 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
