Un fallo “SMS de la muerte” en Android bloquea teléfonos y corta llamadas de emergencia

Una vulnerabilidad de Android recién revelada permite a los atacantes bloquear el teléfono de una víctima y cortar llamadas en curso, incluidas las llamadas a servicios de emergencia, con un simple mensaje de texto manipulado. El fallo, registrado como CVE-2026-58882 y apodado “SMS de la muerte”, no requiere ninguna interacción de la víctima: el mensaje malicioso causa el daño antes de llegar siquiera a la bandeja de entrada, según informó BleepingComputer.

El investigador de seguridad Mark Blaszczyk descubrió el error en el componente WapPushOverSms de Android, encargado de procesar los mensajes WAP Push enviados por la red celular. El código lee el valor de longitud de la cabecera del mensaje y lo convierte sin validarlo. Una secuencia de cinco bytes puede forzar que esa conversión produzca un número negativo, lo que desencadena una excepción NegativeArraySizeException al intentar asignar memoria. Esa excepción bloquea com.android.phone, el proceso del sistema responsable de las llamadas y la telefonía. Blaszczyk reportó una tasa de reproducción del 100% en dispositivos de prueba Google Pixel y Samsung Galaxy.

Lo que hace peligroso este ataque es su invisibilidad total. El mensaje malicioso permanece en la cola de mensajes pendientes de Android, no en la bandeja de entrada visible, por lo que la víctima no ve ninguna notificación, número de remitente ni causa evidente del bloqueo. La telefonía normalmente se reinicia en uno o dos segundos, pero los operadores pueden reenviar un mensaje no confirmado, repitiendo el ciclo de bloqueo. Según Blaszczyk, unos 20 mensajes maliciosos pueden dejar un dispositivo prácticamente inutilizable durante un periodo prolongado, ya que cada intento de reinicio vuelve a leer la misma entrada contaminada de la cola.

Blaszczyk reportó la vulnerabilidad a Google de forma privada el 5 de mayo de 2026, y Google confirmó una solución técnica el 15 de junio de 2026. En lugar de adoptar la propuesta del investigador de validar directamente la longitud de la cabecera, Google envolvió la rutina de decodificación en un manejo de excepciones más amplio que captura el fallo y elimina el mensaje malformado de la cola. Esa solución se incluyó en la actualización de seguridad de octubre de 2026 para Android 14 a 17, pero Android 12 y 13, que aún no han llegado al fin de su soporte, quedaron fuera de la actualización y siguen expuestos. CVE-2026-58882 tampoco apareció en el boletín público de octubre de Google.

La brecha no es pequeña. Según los datos más recientes de StatCounter sobre cuota de versiones, Android 12 y 13 representan juntos aproximadamente una cuarta parte de todos los dispositivos Android activos en el mundo, lo que sitúa la población vulnerable en cientos de millones. GrapheneOS, el fork de Android centrado en la privacidad, indicó que su solución llegará con el boletín de seguridad de noviembre. Los propietarios de dispositivos sin parchear no tienen más defensa que instalar la actualización cuando su fabricante u operador la publique; recuperar un teléfono atrapado en el ciclo de bloqueo requiere esperar a que termine el ciclo o usar Android Debug Bridge para eliminar manualmente el mensaje malicioso, un paso fuera del alcance de la mayoría de los usuarios.

Para los operadores y los administradores de dispositivos empresariales, el fallo es un recordatorio de que WAP Push, un mecanismo de entrega de SMS de décadas de antigüedad que todavía se usa para la configuración y los mensajes de los operadores, sigue siendo una superficie de ataque activa en los teléfonos modernos. Hasta que los parches sean universales, cualquiera que use una versión antigua de Android dependerá del filtrado a nivel de operador en lugar de la protección en el propio dispositivo, una brecha que los atacantes pueden explotar en masa contra teléfonos que nunca recibirán una actualización.