SMS of Death: un fallo de Android bloquea el móvil con un SMS

Una nueva vulnerabilidad de Android, apodada SMS of Death, permite alterar el funcionamiento de un smartphone con un solo SMS especialmente manipulado. El fallo, identificado como CVE-2026-58882, fue detallado por el investigador de seguridad Mark Blah. Se trata de un error de denegación de servicio sin clic: el usuario no necesita abrir ni ver el mensaje para que el ataque surta efecto.

Cómo funciona el ataque

Según el investigador, el problema está en la función WapPushOverSms.decodeWapPdu, que no valida correctamente el valor de la longitud de la cabecera. Cuando un mensaje WAP Push manipulado de ocho bytes se convierte en un entero de 32 bits con signo sin comprobar rangos, se obtiene un valor negativo. Eso provoca una excepción NegativeArraySizeException y cierra de forma abrupta el proceso com.android.phone, responsable de la conexión celular.

Como Android procesa el mensaje antes de que llegue a la bandeja de entrada, resulta difícil saber qué causó el fallo. Además, se interrumpen las llamadas en curso, incluidas las dirigidas a servicios de emergencia.

Los bloqueos pueden repetirse, por ejemplo cuando el operador intenta reenviar el mensaje malicioso o cuando Android procesa mensajes ya guardados en el dispositivo. Pueden eliminarse manualmente con Android Debug Bridge (ADB), algo al alcance solo de usuarios con conocimientos técnicos.

Quién está afectado

Google corrigió el fallo en las actualizaciones de seguridad de octubre de 2026 para las versiones 14 a 17 de Android, según Blah. Los dispositivos con Android 12 y 13 siguen siendo vulnerables.

Blah también publicó una prueba de concepto que permite enviar estos mensajes desde otro dispositivo Android, lo que facilita su uso malicioso. Se recomienda instalar las últimas actualizaciones de seguridad. Quienes usan móviles con Android 12 o 13 no disponen por ahora de ningún parche.