SMS de la muerte: un SMS invisible bloquea los Android

Un solo SMS, que no aparece en la bandeja de mensajes y no pide ninguna acción a quien lo recibe, basta para detener el proceso que gestiona la telefonía de Android, cortar las llamadas en curso, también las dirigidas a los números de emergencia, y, si se repite, dejar el smartphone inutilizable. La vulnerabilidad, apodada «SMS of Death» y registrada como CVE-2026-58882, la documentó un investigador independiente que también publicó un exploit de prueba de concepto. La han cubierto heise Security (30 de octubre), BleepingComputer (31 de octubre) y Security Affairs (1 de noviembre).

Qué ha pasado

Según el investigador, citado por BleepingComputer, Google corrigió el fallo con las actualizaciones de seguridad de octubre de 2026 para Android 14, 15, 16 y 17, aunque la corrección no figuraba en el boletín de octubre. Security Affairs recoge en cambio un mensaje de GrapheneOS del 29 de octubre según el cual la CVE tiene gravedad crítica en el boletín de seguridad de Android de noviembre de 2026. En Android 12 y 13, donde según el investigador el código vulnerable está presente, la corrección no ha llegado: estos dispositivos siguen expuestos.

Con el exploit público, el ataque no requiere conocimientos especiales: según BleepingComputer, la prueba de concepto envía los mensajes maliciosos desde otro dispositivo Android.

Detalles técnicos

El fallo está en el componente WapPushOverSms del framework de telefonía de Android (frameworks/opt/telephony), que interpreta los mensajes WAP Push: SMS binarios que el sistema procesa automáticamente, sin intervención del usuario.

• Causa: la función decodeWapPdu() lee la longitud de la cabecera WSP, codificada como uintvar, en un valor de 64 bits y la convierte en un entero con signo de 32 bits sin comprobar su rango.
• Disparador: un uintvar de 5 bytes (88 80 80 80 00) vale 0x80000000, que como entero con signo de 32 bits se convierte en -2147483648. Reservar un array de ese tamaño genera una NegativeArraySizeException no gestionada en el hilo principal de la telefonía y termina el proceso com.android.phone.
• Vector: un SMS de datos dirigido al puerto WAP Push 2948; según BleepingComputer, el mensaje completo ocupa ocho bytes. Se procesa antes de llegar a la bandeja de SMS: sin notificación y sin remitente visible.
• Efecto de un solo mensaje: según el análisis que recoge Security Affairs, cada procesamiento interrumpe el servicio telefónico durante uno o dos segundos mientras el componente se reinicia; las llamadas en curso se cortan.
• Persistencia: el mensaje puede quedarse en la cola de SMS entrantes y procesarse de nuevo, y los reintentos de entrega del operador repiten el fallo. El investigador habla de bloqueos intermitentes hasta una semana después de un solo mensaje. Con una veintena de mensajes el teléfono puede entrar en un bucle de reinicios: en un dispositivo con Android 12, escribe BleepingComputer, el teléfono se reiniciaba en modo de recuperación cada 90 segundos aproximadamente y hubo que restablecerlo a los ajustes de fábrica.
• Dispositivos probados: según Security Affairs, el problema se reproduce en el Google Pixel 9 y en smartphones Samsung de las familias Galaxy y Galaxy A.

No hay ejecución de código ni robo de datos: el objetivo es la disponibilidad del servicio telefónico. En la matriz Mobile de MITRE ATT&CK el efecto entra en la táctica Impact, técnica T1464 (Network Denial of Service).

La corrección de Google, titulada «Fix remote DoS in decodeWapPdu», captura las excepciones que generan los mensajes malformados y elimina los mensajes maliciosos de la base de datos de SMS, para que no provoquen más bloqueos.

Impacto para las empresas

Para una empresa el riesgo no es la pérdida de datos, sino la disponibilidad de las personas. Quien conozca el número de un teléfono de empresa puede cortar sus llamadas o, con más mensajes, dejarlo inutilizable durante días, sin dejar rastro visible para el usuario. Lo más expuesto:

• los teléfonos de las guardias, de los técnicos de campo y de los responsables que deben estar localizables durante un incidente;
• la sanidad y los servicios de emergencia, donde una llamada cortada o un médico ilocalizable tienen consecuencias directas, más aún porque el fallo afecta también a las llamadas a los números de emergencia;
• los dispositivos con Android 12 y 13 todavía en uso, que según las fuentes no han recibido la corrección.

Para las entidades sujetas a NIS2, la gestión de los dispositivos móviles forma parte de las medidas sobre inventario de activos y vulnerabilidades: teléfonos sin actualizar en funciones críticas son un riesgo que hay que documentar y tratar.

Qué hacer ya

1. Comprueba el nivel de parche de todos los dispositivos Android de la empresa, desde la consola de gestión de dispositivos móviles o desde Ajustes › Seguridad. Según el investigador, hace falta al menos la actualización de octubre de 2026; revisa también el boletín de noviembre de 2026 que cita GrapheneOS y las notas del fabricante, porque la disponibilidad de las actualizaciones depende del fabricante y del operador.
2. Instala y reinicia: las actualizaciones pueden necesitar un reinicio para completarse.
3. Sustituye o reasigna los dispositivos con Android 12 y 13 que usan las guardias, el personal sanitario y los puestos que deben seguir localizables.
4. Prepara la recuperación: un colaborador en GitHub encontró la forma de eliminar los mensajes maliciosos con Android Debug Bridge (ADB), lo que requiere un ordenador y conocimientos técnicos; la alternativa es el restablecimiento de fábrica. Asegúrate de que los datos de empresa de los teléfonos se puedan recuperar.
5. Vigila los síntomas: considera sospechosos los cortes de llamada repetidos, las pérdidas de cobertura recurrentes y los reinicios en serie que señalen los usuarios, sobre todo en dispositivos sin actualizar. También puedes preguntar a tu operador si filtra los SMS de datos WAP Push malformados dirigidos al puerto 2948.

Última actualización: 1 de noviembre de 2026