Una vulnerabilidad crítica de Android, identificada como CVE-2026-58882, puede permitir que un atacante bloquee un teléfono de forma remota mediante el envío de un mensaje SMS especialmente diseñado. El ataque no requiere ninguna interacción por parte del destinatario, ni siquiera abrir el mensaje.
El investigador de seguridad Mark Blah describió el problema como una vulnerabilidad de denegación de servicio sin interacción y la apodó «SMS de la muerte». La vulnerabilidad se debe a una validación incorrecta de un valor de longitud de cabecera en la función WapPushOverSms.decodeWapPdu de Android. Un mensaje WAP Push malformado de ocho bytes enviado al puerto 2948 puede hacer que Android procese un valor negativo de asignación de memoria, lo que provoca un error que bloquea el proceso com.android.phone.
Dado que ese proceso gestiona las funciones celulares, un dispositivo afectado puede perder la conectividad móvil y cortar las llamadas. La vulnerabilidad también puede afectar a la conectividad de emergencia. Android procesa estos mensajes antes de que lleguen a la bandeja de entrada, por lo que las víctimas pueden no recibir ninguna notificación ni indicación de que un SMS causó la interrupción.
Los intentos reiterados de entrega por parte de algunos operadores, junto con los esfuerzos continuos de Android por procesar los mensajes almacenados en el dispositivo, pueden prolongar el problema. Blah descubrió que enviar 20 mensajes maliciosos o más podía obligar a un dispositivo a entrar en un bucle de reinicio. En Android 12, el teléfono podía entrar repetidamente en el modo de recuperación, lo que podía dejar el restablecimiento de fábrica como la única solución práctica.
Google identificó inicialmente el problema en distintas versiones de Android y corrigió las versiones compatibles desde Android 14 hasta Android 17. La solución, incluida en las actualizaciones de seguridad de Android de octubre de 2026, captura las excepciones generadas al procesar mensajes malformados y elimina esos mensajes de la base de datos de SMS para evitar bloqueos repetidos.
Sin embargo, los dispositivos que han llegado al final de su vida útil no recibirán la actualización y seguirán expuestos de forma permanente. Los fabricantes de Android también distribuyen las actualizaciones con calendarios diferentes, por lo que los usuarios deberían instalar las actualizaciones de seguridad disponibles lo antes posible.
Se ha publicado una prueba de concepto de la vulnerabilidad. Existe un método para eliminar el mensaje malicioso mediante Android Debug Bridge, pero requiere conocimientos técnicos y conectar el dispositivo a un ordenador.
Fuentes: TechRadar.