El investigador de seguridad Mark Blah ha publicado una prueba de concepto de un exploit para un fallo de Android que puede bloquear el proceso celular del teléfono y cortar llamadas, incluidas las de emergencia, según informó BleepingComputer el 31 de octubre. Bautizado como «SMS of Death» e identificado como CVE-2026-58882, el fallo no requiere ninguna interacción del destinatario: un mensaje de texto especialmente diseñado lo activa antes de llegar a la bandeja de entrada de SMS.
Blah afirma que Google corrigió el fallo en Android 14 a 17 con sus actualizaciones de seguridad de octubre de 2026, aunque el identificador no aparece en el boletín de seguridad de octubre de Google, según señala el informe de BleepingComputer. Los dispositivos con Android 12 y 13 siguen siendo vulnerables porque no recibieron la corrección, según el investigador.
Las consecuencias prácticas van más allá de una única llamada interrumpida. Los mensajes maliciosos pueden provocar fallos repetidos, y las pruebas de Blah demostraron que una secuencia de mensajes podría dejar los teléfonos atrapados en bucles de reinicio.
Cómo un mensaje de texto interrumpe el servicio móvil
La vulnerabilidad reside en WapPushOverSms.decodeWapPdu, una función de Android que procesa los mensajes WAP Push entregados por SMS. No valida correctamente un valor de longitud de cabecera antes de usarlo para reservar memoria.
El exploit envía este mensaje malformado de ocho bytes como SMS de datos dirigido al puerto 2948:
01 06 88 80 80 80 00 BE
Durante el procesamiento, el valor de longitud de cabecera se convierte en -2147483648 al transformarse en un entero con signo de 32 bits sin una comprobación de límites. Android intenta entonces reservar memoria con ese valor negativo, lo que dispara una NegativeArraySizeException que bloquea com.android.phone, el proceso encargado de las funciones celulares.
Ese fallo interrumpe la conectividad móvil y las llamadas en curso. Como el procesamiento ocurre antes de que el mensaje llegue a la bandeja de entrada, el destinatario no ve ningún mensaje que explique la causa de la interrupción.
Blah explicó que los fallos pueden repetirse cuando la operadora intenta entregar de nuevo el mensaje malicioso o cuando Android procesa mensajes maliciosos que ya están almacenados en el dispositivo. En las pruebas, el envío de 20 mensajes maliciosos podía provocar bucles de reinicio. Un dispositivo con Android 12 se reinició en modo de recuperación aproximadamente cada 90 segundos y necesitó un restablecimiento de fábrica para recuperarse.
La prueba de concepto publicada puede enviar los mensajes maliciosos desde otro dispositivo Android.
Actualizaciones y recuperación
El parche de Google, titulado «Fix remote DoS in decodeWapPdu», captura las excepciones que se generan cuando Android procesa mensajes malformados, según el informe. DoS significa denegación de servicio: alterar la disponibilidad de un sistema. El parche también elimina de la base de datos de SMS los mensajes maliciosos para que no puedan volver a provocar fallos.
Un colaborador de GitHub llamado Sakis encontró la manera de eliminar los mensajes mediante Android Debug Bridge, o ADB, una herramienta para comunicarse con un dispositivo Android desde un ordenador. Este método de recuperación requiere acceso a un ordenador y conocimientos técnicos más avanzados.
Ahora que existe un exploit funcional público, los usuarios de Android deberían instalar las últimas actualizaciones de seguridad disponibles, tal como recomienda BleepingComputer. Los dispositivos compatibles suelen instalar las actualizaciones de seguridad automáticamente, pero su disponibilidad depende del fabricante y de la operadora, y es posible que haya que reiniciar para completar la instalación.
