Una vulnerabilidad de Android informada recientemente, bautizada como «SMS de la muerte» por el investigador de seguridad Mark Blah, puede interrumpir el servicio celular o bloquear determinados teléfonos mediante una serie de mensajes SMS especialmente diseñados. El fallo está registrado como CVE-2026-58882 y no requiere que el destinatario abra el mensaje.
El sistema Android procesa el mensaje malicioso antes de que llegue a la bandeja de entrada habitual. Según Blah, los mensajes pueden permanecer en cola después de un reinicio y volver a intentarse cada vez que se inicia el teléfono, lo que podría provocar bloqueos repetidos hasta que sean eliminados.
El fallo afecta a las versiones 12 a 16 de Android y se observó en varios dispositivos, incluidos teléfonos Pixel 9 y Samsung Galaxy. Puede interrumpir llamadas activas, incluidas las llamadas de emergencia, porque afecta al proceso de Android responsable de las funciones celulares.
El ataque aprovecha una validación incorrecta de la longitud de una cabecera en la función WapPushOverSms.decodeWapPdu de Android. Un mensaje WAP Push malformado puede producir un valor negativo que el sistema intenta utilizar para asignar memoria, lo que desencadena una NegativeArraySizeException y bloquea el proceso com.android.phone. El informe indica que 20 mensajes maliciosos bastan para provocar el bloqueo.
Google parece haber solucionado el problema en la actualización de seguridad de Android de octubre de 2026 para las versiones 14 a 17. La corrección captura las excepciones provocadas por los mensajes y los elimina de la base de datos de SMS para impedir que se procesen repetidamente. La actualización no parece estar disponible para los dispositivos que todavía ejecutan Android 12 o 13.
Tom’s Guide se puso en contacto con Google después de que el informe afirmara que el problema había sido considerado una «no prioridad», pero Google no había respondido a sus consultas en el momento de la publicación.
Las actualizaciones de seguridad de Android generalmente se instalan automáticamente en los dispositivos compatibles, aunque la disponibilidad depende del fabricante del teléfono y del operador de red. Los usuarios deberían comprobar si la actualización de octubre está instalada y reiniciar el teléfono si es necesario para completar el proceso. El informe indica que el ataque no parece estar desplegado de forma generalizada, pero se ha publicado una prueba de concepto funcional, por lo que es importante mantener actualizados los dispositivos compatibles.
Fuentes: Tom's Guide.