El investigador independiente Mark Blaszczyk divulgó el 29 de octubre de 2026 un fallo de Android al que llamó “SMS of Death”. Según la divulgación, un único mensaje malformado, enviado como SMS de datos, puede tumbar el servicio de llamadas de un teléfono vulnerable sin que la víctima abra nada, toque un enlace ni realice ninguna acción. Se clasifica aquí como INFORME DEL INVESTIGADOR, corroborado en parte por cobertura independiente: las pruebas son del propio investigador y el calendario exacto del parche sigue en disputa, como se explica abajo.
El fallo está en WapPushOverSms, parte del marco de telefonía de Android que procesa los mensajes WAP Push, un formato antiguo de SMS de datos usado, por ejemplo, para notificaciones de la operadora y de mensajes multimedia. Al decodificar un mensaje, el código lee la longitud declarada del encabezado y la convierte a un entero de 32 bits con signo sin comprobar adecuadamente el rango. El valor resultante puede volverse negativo y, al intentar reservar memoria de ese tamaño, Android genera una excepción que cierra el proceso com.android.phone, responsable de las llamadas y la conexión móvil.
Qué ocurre en la práctica
Como el mensaje se procesa antes de llegar a la aplicación de mensajes, no aparece en la bandeja de entrada, no genera una notificación visible ni muestra el número del remitente, según el investigador. Cada caída interrumpe el servicio durante uno o dos segundos, mientras el proceso se reinicia, suficiente para cortar una llamada en curso, incluida una llamada de emergencia. Como las operadoras pueden reenviar mensajes no confirmados, la interrupción puede repetirse. En las pruebas del investigador, unos 20 mensajes bastaron para dejar el teléfono prácticamente inutilizable durante un período prolongado, atrapado en un ciclo de reinicio.
Blaszczyk afirma haber reproducido el fallo en todos los intentos en un Pixel 9 y en varios teléfonos Samsung Galaxy, incluidos modelos de la serie A, con Android 12 a 16. El código vulnerable se remonta al menos a Android 12, según la cobertura. Conviene delimitar el impacto: es un fallo de denegación de servicio, es decir, de disponibilidad. La divulgación no presenta evidencia de que robe datos, contraseñas o fotos ni de que tome el control del teléfono, y no hay ataques confirmados en el mundo real hasta ahora.
Quién está protegido y dónde hay discrepancia
Según el investigador, existe una corrección en el Android Open Source Project desde junio de 2026 que habría llegado a las actualizaciones de octubre de 2026 para Android 14 a 17, pero no para Android 12 y 13, fuera de la ventana de actualizaciones de seguridad. Hay un punto en disputa que conviene conocer: el CVE identificado en la cobertura como CVE-2026-58882, calificado como Crítico según Android Authority, no aparece en el boletín de seguridad de octubre de 2026 de Google. Android Authority y el proyecto GrapheneOS indican que el CVE debería aparecer en el boletín de noviembre, y que la corrección ya había circulado en vistas previas de seguridad para fabricantes en julio. El investigador también relata que Google clasificó inicialmente su informe, enviado el 5 de mayo de 2026, como un problema sin carácter de seguridad.
En la práctica, esto significa dos cosas. Primero, incluso un teléfono con Android 14 o superior solo está protegido si instaló la actualización que incluye la corrección; la versión del sistema, por sí sola, no basta. Segundo, los teléfonos anclados en Android 12 o 13 pueden seguir expuestos. Según datos de distribución de Google citados por la cobertura, Android 12 representa el 9,6% y Android 13 el 11,8% de los dispositivos activos, alrededor de uno de cada cinco en total. Esa cifra cuenta versiones del sistema, no niveles de parche, así que no es una medida exacta de cuántos teléfonos son vulnerables en este momento.
Qué hacer ahora
Instala la actualización de sistema más reciente que ofrezca tu teléfono y comprueba el nivel del parche de seguridad en Ajustes. No des por hecho que el parche de octubre, por sí solo, ya incluye esta corrección, dada la discrepancia de calendario descrita arriba; conviene volver a comprobarlo cuando se publique el boletín de noviembre. Si el teléfono entra en un ciclo de reinicio, contacta con el soporte oficial del fabricante en lugar de intentar borrar datos por tu cuenta.
Fontes
- AndroidPure: Android SMS of Death Flaw Can Crash Phones and Drop Emergency Calls
- eSecurity Planet: Android SMS of Death Flaw Threatens Calls and Phones
- Cyber Insider: SMS of Death flaw cuts off Android calls without user interaction
- Malaysian Wireless: Android SMS of Death Bug Can Crash Phones Without Warning
- Google: Android Security Bulletin, outubro de 2026 (citado pela cobertura como não listando o CVE)
Crédito de la imagen: logotipo de Android, imagen: Google, vía AndroidPure.
Transparencia: este artículo se elaboró con ayuda de inteligencia artificial, a partir del cruce de fuentes públicas de internet enumeradas arriba, incluidos informes de publicaciones en X citados por la cobertura. Consulta las fuentes originales para confirmar los detalles antes de tomar cualquier decisión.
— Muse
