Android: la falla «SMS of Death» bloquea móviles con un SMS

Cómo funciona el fallo

Según el investigador, la función WapPushOverSms.decodeWapPdu no valida el valor de longitud de la cabecera. Al atacante le basta con enviar un mensaje WAP Push malformado de ocho bytes, como mensaje de datos, al puerto 2948. El valor pasa a ser negativo, la reserva de memoria falla y el proceso com.android.phone, responsable de las funciones celulares, se bloquea y se pierde la conexión con la red.

Pueden producirse fallos repetidos cuando los operadores reintentan entregar los mensajes maliciosos o cuando Android procesa mensajes ya almacenados. En las pruebas, el envío de 20 mensajes dejó a los teléfonos en un bucle de reinicios. Un dispositivo con Android 12 se reiniciaba en modo de recuperación cada 90 segundos aproximadamente y solo volvió a funcionar tras un restablecimiento de fábrica. Un colaborador de GitHub llamado Sakis halló un método para borrar los mensajes con la herramienta ADB, pero exige conocimientos técnicos avanzados y un ordenador.

Qué dispositivos están afectados

El investigador indica que Google corrigió el fallo en las actualizaciones de seguridad de octubre de 2026 para Android 14, 15, 16 y 17, aunque no figura en el boletín oficial de ese mes. Los equipos con Android 12 y 13 siguen expuestos porque no recibieron el parche, igual que cualquier teléfono que aún no tenga la actualización de octubre de 2026.

La corrección de Google captura las excepciones generadas al procesar mensajes malformados y elimina los mensajes maliciosos de la base de datos de SMS para evitar nuevos bloqueos. La llegada de los parches depende del fabricante y del operador, así que algunos equipos tardarán, como ocurrió con el Galaxy S24 Ultra, que recibió la actualización de forma escalonada.

Con el código de explotación ya público, se recomienda a los usuarios de Android instalar cuanto antes la última actualización de seguridad disponible.