SMS of Death en Android: texto malicioso puede tumbar el celular sin ningún clic

Un investigador de seguridad publicó una prueba de concepto para una vulnerabilidad de Android recientemente corregida, apodada SMS of Death e identificada como CVE-2026-58882, que permite tumbar el servicio celular o bloquear equipos no actualizados con el envío de un mensaje de texto especialmente creado. El código se divulgó después de la corrección de Google en las actualizaciones de seguridad de octubre de 2026.

El problema es una falla de denegación de servicio sin clic, o zero-click, término que se usa cuando la víctima no necesita abrir nada para verse afectada. Puede interrumpir llamadas en curso, incluidas las llamadas de emergencia. Como Android procesa el mensaje antes de que llegue a la bandeja de entrada de SMS, la víctima no ve ninguna señal de lo que causó la falla.

Dónde está la falla y quién está protegido

Según el investigador de vulnerabilidades Mark Blah, Google corrigió la falla en las actualizaciones de seguridad de octubre de 2026 para equipos con Android 14 a 17. Sin embargo, la falla no aparece en el boletín de seguridad de octubre de Google, y los equipos más antiguos con Android 12 y 13 siguen vulnerables porque no recibieron la corrección.

La causa está en la validación incorrecta de un valor de tamaño de encabezado en la función WapPushOverSms.decodeWapPdu de Android. WAP Push es un tipo antiguo de mensaje usado para enviar contenidos y notificaciones por la red celular. Para explotar la falla, el atacante envía un mensaje WAP Push malformado de ocho bytes al celular objetivo.

Cuando ese valor se convierte en un número entero de 32 bits con signo sin verificación de límites, se transforma en -2147483648. Al intentar reservar memoria con ese valor negativo, Android genera un error llamado NegativeArraySizeException, que tumba el proceso com.android.phone, responsable de las funciones de telefonía celular.

Qué le pasa al celular atacado

Como el proceso com.android.phone gestiona las funciones del celular, la falla interrumpe la conectividad móvil y desconecta las llamadas en curso, incluidas las llamadas a servicios de emergencia. El ataque también puede provocar bloqueos repetidos cuando la operadora intenta reenviar los mensajes maliciosos o cuando Android intenta procesar mensajes ya guardados en el equipo.

En las pruebas, el investigador vio que el envío de 20 mensajes maliciosos podía dejar a los celulares atrapados en ciclos de reinicio. En un equipo con Android 12, el teléfono se reiniciaba al modo de recuperación aproximadamente cada 90 segundos, y se necesitaba una restauración de fábrica para que volviera a funcionar.

Un colaborador de GitHub llamado Sakis descubrió una forma de eliminar los mensajes maliciosos usando Android Debug Bridge (ADB), herramienta que conecta el celular a la computadora para comandos avanzados. El proceso, sin embargo, exige un conocimiento técnico más avanzado y acceso a una computadora.

Cómo protegerse ahora

La corrección de Google, titulada “Fix remote DoS in decodeWapPdu”, evita las caídas al manejar las excepciones generadas al procesar los mensajes malformados. El parche también borra los mensajes maliciosos de la base de datos de SMS para impedir nuevas fallas repetidas.

• Instala la actualización de seguridad más reciente disponible para tu modelo.
• Reinicia el equipo después de actualizar, si el sistema lo pide.
• En equipos con Android 12 y 13, ten mucho más cuidado, pues no recibieron la corrección citada en esta nota.

Las actualizaciones de seguridad de Android suelen instalarse automáticamente en los equipos compatibles, pero la liberación depende del fabricante y de la operadora. Con una prueba de concepto funcional ya publicada, que puede enviar los mensajes desde otro equipo Android, instalar las actualizaciones más recientes es la medida más importante para protegerse.