Android: el «SMS de la muerte» bloquea la telefonía sin un clic

El investigador independiente de ciberseguridad Mark Blaszczyk ha hecho públicos los detalles de una vulnerabilidad «zero click» de Android apodada «SMS of Death». Un mensaje de texto especialmente manipulado puede hacer fallar de forma repetida el servicio de telefonía del dispositivo sin que la víctima haga nada. Google ya ha corregido el error, por lo que los equipos actualizados no corren riesgo.

Cómo funciona el fallo

La vulnerabilidad reside en un componente antiguo de Android que gestiona un formato heredado de «data SMS», usado históricamente para notificaciones de MMS y contenidos push. Estos mensajes nunca aparecen en pantalla y se procesan en segundo plano. Según el investigador, Android lee la longitud de la cabecera del mensaje como un entero largo y la convierte en un entero con signo de 32 bits sin comprobar que el valor sea plausible.

Con la secuencia de cinco bytes 88 80 80 80 00, el valor pasa a ser -2147483648. Android intenta entonces crear un arreglo de bytes de ese tamaño negativo, lo que termina el proceso com.android.phone, responsable de la telefonía. Cada mensaje malformado corta el servicio entre uno y dos segundos mientras el proceso se reinicia, y con ello interrumpe las llamadas en curso.

El atacante solo necesita el número de teléfono de la víctima. El mensaje no aparece en la bandeja de entrada ni en las notificaciones.

De un corte breve a un móvil inservible

Un solo mensaje causa una interrupción corta, pero el atacante puede enviar tantos como quiera. Según Blaszczyk, un mensaje puede provocar cortes intermitentes de hasta una semana, y veinte pueden dejar un dispositivo inutilizable durante más tiempo. Unos treinta mensajes enviados con rapidez pueden corromper la base de datos SQLite donde se guardan los SMS, y el teléfono puede fallar en cada arranque sin necesidad de otro mensaje.

Restablecer de fábrica puede no bastar, porque el atacante puede reenviar el SMS. La única solución que propone el investigador es sacar la SIM física, colocarla en un teléfono que no sea Android y borrar los SMS corruptos. Con una eSIM, es casi imposible.

Corregido y sin abusos conocidos

Blaszczyk informó a Google el 5 de mayo mediante el Android and Devices Vulnerability Reward Program. Al principio, Google lo clasificó como un problema ajeno a la seguridad y consideró insuficiente su gravedad. El 15 de junio de 2026 se desarrolló un parche, incluido en la actualización de seguridad de Android de octubre de 2026 para Android 14 a Android 17.

El fallo no permite robar datos, instalar spyware ni tomar el control del teléfono. Es un ataque de denegación de servicio que puede impedir llamar, recibir llamadas o usar la red móvil. La mayor preocupación son las llamadas de emergencia. Hasta ahora no se ha observado ninguna explotación real.