Una vulnerabilidad crítica de Android, identificada como CVE-2026-58882, puede permitir que un atacante bloquee un teléfono de forma remota enviando un mensaje SMS especialmente diseñado. El exploit no requiere ninguna interacción por parte del destinatario, ni siquiera abrir el mensaje.
El investigador de seguridad Mark Blah describió el problema como una vulnerabilidad de denegación de servicio de clic cero y la apodó “SMS de la muerte”. La falla implica una validación incorrecta de un valor de longitud de encabezado en la función WapPushOverSms.decodeWapPdu de Android. Un mensaje WAP Push malformado de ocho bytes enviado al puerto 2948 puede hacer que Android procese un valor negativo de asignación de memoria, lo que desencadena un error que bloquea el proceso com.android.phone.
Debido a que ese proceso gestiona las funciones celulares, un dispositivo afectado puede perder la conectividad móvil y cortar las llamadas. La vulnerabilidad también puede afectar la conectividad de emergencia. Android procesa estos mensajes antes de que lleguen a la bandeja de entrada, por lo que las víctimas pueden no recibir ninguna notificación ni indicación de que un SMS causó la interrupción.
Los intentos repetidos de entrega por parte de algunos operadores, junto con los esfuerzos continuos de Android por procesar los mensajes almacenados en el dispositivo, pueden prolongar el problema. Blah descubrió que enviar 20 o más mensajes maliciosos podía obligar a un dispositivo a entrar en un bucle de reinicio. En Android 12, el teléfono podía entrar repetidamente en el modo de recuperación, lo que potencialmente dejaba el restablecimiento de fábrica como el único remedio práctico.
Google identificó inicialmente el problema en varias versiones de Android y corrigió las versiones compatibles desde Android 14 hasta Android 17. La solución, incluida en las actualizaciones de seguridad de Android de octubre de 2026, captura las excepciones generadas al procesar mensajes malformados y elimina esos mensajes de la base de datos de SMS para evitar bloqueos repetidos.
Sin embargo, los dispositivos que han llegado al final de su vida útil no recibirán el parche y seguirán expuestos permanentemente. Los fabricantes de Android también distribuyen las actualizaciones según calendarios diferentes, por lo que los usuarios deben instalar las actualizaciones de seguridad disponibles lo antes posible.
Se ha publicado una prueba de concepto de la vulnerabilidad. Existe un método para eliminar el mensaje malicioso mediante Android Debug Bridge, pero requiere conocimientos técnicos y conectar el dispositivo a un ordenador.
Fonti: TechRadar.