Un mensaje SMS especialmente malformado, de apenas ocho bytes y completamente invisible para el usuario, puede hacer caer el servicio de telefonía de Android. El fallo, bautizado SMS of Death por su descubridor, provoca el cierre del proceso com.android.phone, interrumpe cualquier llamada activa —incluidas las de emergencia— y, si se repite, puede dejar el terminal en un bucle de reinicios del que es difícil salir sin conocimientos técnicos.
El investigador Mark Blaszczyk publicó los detalles y una prueba de concepto el 29 de octubre de 2026, casi seis meses después de haberlo reportado a Google a través del programa de recompensas de vulnerabilidades de Android y dispositivos Google. El fallo se rastrea como CVE-2026-58882 y afecta al código de manejo de mensajes WAP Push que lleva presente desde Android 12.
Cómo funciona el SMS of Death
El problema reside en la clase WapPushOverSms, parte del framework de telefonía de Android (frameworks/opt/telephony). Cuando llega un mensaje WAP Push —un tipo de SMS de datos dirigido al puerto 2948, usado históricamente por operadoras para enviar configuraciones o notificaciones de MMS sin interacción del usuario—, la función decodeWapPdu lee la longitud de la cabecera WSP como un entero largo (long) de tipo uintvar.
Ese valor se convierte a entero de 32 bits con signo (int) sin comprobar el rango. Un valor de cinco bytes 88 80 80 80 00 se decodifica como 0x80000000. Al castearlo a int firmado se convierte en -2147483648. El código intenta entonces crear un array de bytes de ese tamaño negativo, lo que lanza una NegativeArraySizeException no capturada en el hilo principal de telefonía y mata el proceso com.android.phone.
El mensaje nunca aparece en la aplicación de Mensajes ni genera notificación. El número del remitente tampoco se muestra. Es un ataque zero-click puro: basta con conocer el número de teléfono de la víctima.
Impacto real: llamadas caídas y bucle de reinicios
Cada mensaje provoca un corte de servicio de uno a dos segundos mientras el proceso se reinicia. Cualquier llamada de voz en curso se interrumpe con la causa DisconnectCause CS_DEATH. En pruebas del investigador, el fallo se reprodujo con un 100 % de éxito en un Pixel 9 con firmware de abril de 2026 y en varios Samsung Galaxy, incluidos modelos de la serie A.
El problema se agrava porque las operadoras reenvían los mensajes que el teléfono no ha reconocido. Un solo SMS malformado puede provocar cortes intermitentes durante hasta una semana. Unos veinte mensajes dejan el dispositivo inutilizable durante un periodo prolongado. En Android 12, el mensaje permanece en la cola de entrada (content://sms/raw) y se reintenta en cada arranque, de modo que RescueParty reinicia el terminal aproximadamente cada 90 segundos y acaba mostrando la pantalla de recuperación que invita a borrar datos.
Para un usuario no técnico, la salida más sencilla es el restablecimiento de fábrica. Existe un método de recuperación menos destructivo vía ADB —documentado por el colaborador @sakisdog— que consiste en borrar las filas del mensaje envenenado en la breve ventana tras el arranque, pero requiere un ordenador y conocimientos de línea de comandos.
Versiones afectadas y el parche de octubre
El código vulnerable está presente desde Android 12 y el crash se ha confirmado hasta Android 16. Google publicó una corrección en el parche de seguridad de octubre de 2026 para Android 14, 15, 16 y 17. Los dispositivos que ya tienen ese nivel de parche o superior están protegidos. Android 12 y 13, que en muchos casos han salido de la ventana de actualizaciones de seguridad, no reciben el arreglo y siguen vulnerables.
La corrección de Google no añade la comprobación de rango que propuso el investigador. En su lugar, amplía el bloque catch para atrapar RuntimeException (incluido NegativeArraySizeException) y elimina el mensaje problemático de la cola para evitar que se reintente en el siguiente arranque. El commit 735d967 (“Fix remote DoS in decodeWapPdu”) se autoró el 15 de junio de 2026 y se incorporó al AOSP.
Según el propio investigador, Google clasificó inicialmente el informe como un problema no de seguridad y lo cerró. El parche existía meses antes de la divulgación pública. GrapheneOS incluyó el arreglo en sus previews de julio y lo menciona en el boletín de noviembre.
Qué hacer si tienes un Android
Comprueba el nivel de parche de seguridad en Ajustes > Acerca del teléfono > Versión de Android. Si pone octubre de 2026 o posterior y tu sistema es Android 14 o superior, el fallo está mitigado. En Android 12 o 13, o en dispositivos que aún no han recibido el parche de octubre, el riesgo permanece.
No existe una mitigación práctica a nivel de usuario más allá de actualizar. El ataque no requiere instalar nada ni abrir un mensaje. La prueba de concepto publicada en GitHub (MarkBlah/smsofdeath) permite enviar el payload desde otro Android, pero el autor advierte que usarla contra dispositivos ajenos es ilegal y que interferir con el acceso a servicios de emergencia constituye un delito grave en la mayoría de jurisdicciones, incluida España.
El interés práctico para un usuario español es claro: una llamada al 112 interrumpida en el momento equivocado puede tener consecuencias serias. Aunque no se han reportado ataques masivos en la naturaleza, la existencia de una PoC funcional y la facilidad del vector (solo hace falta el número) elevan el riesgo mientras queden terminales sin parchear.
Fuentes y contexto
La información principal procede del write-up del investigador en smsofdeath.com y del repositorio GitHub correspondiente. La cobertura secundaria de GSMArena, Android Authority, BleepingComputer y Cybernews confirma los detalles técnicos, el CVE y el alcance del parche. Google no ha emitido un comunicado público específico más allá de la inclusión del arreglo en el ciclo de parches.
En España, la mayoría de usuarios con dispositivos de gama media y alta actualizados a Android 14 o superior ya deberían estar cubiertos o recibir el parche en las próximas semanas, dependiendo del fabricante y la operadora. Los terminales más antiguos que aún se usan con Android 12 o 13 constituyen la población más expuesta.
Deja una respuesta