Ing. Calogero Bono
Un solo mensaje WAP Push manipulado puede hacer que la telefonía de un smartphone Android se bloquee, interrumpa las llamadas y, en algunos casos, provoque reinicios continuos. La falla se llama CVE-2026-58882 y fue hecha pública el 29 de octubre por el investigador Mark Blaszczyk. No hace falta abrir nada, y la corrección de Google no cubre todas las versiones. Para quien gestiona teléfonos de empresa, el tema es concreto.
Algunos términos, antes de entrar en los hechos. CVE es el código que identifica de forma única una vulnerabilidad conocida. WAP Push es un tipo de mensaje que el sistema procesa automáticamente y que puede no aparecer en la bandeja de SMS. Denial of service indica un ataque que no roba datos, sino que impide que el dispositivo funcione. Bootloop es el ciclo de reinicios continuos. ADB es la herramienta desde el ordenador con la que se dialoga con un teléfono Android.
¿Qué es el SMS of Death y cómo funciona?
Según DDay, la falla afecta a la gestión de los mensajes WAP Push, procesados directamente por el framework de telefonía de Android. Un mensaje malformado hace que el proceso com.android.phone se bloquee y el teléfono pierde durante unos instantes la red móvil.
Como informa Punto Informatico, la cabecera alterada contiene un valor negativo (-2.147.483.648) que, durante la asignación de memoria, genera una excepción. Todo ocurre antes de que el SMS aparezca entre los mensajes, así que la víctima no ve nada sospechoso.
¿Qué daños puede causar un solo mensaje?
El fallo individual dura unos segundos, porque Android reinicia el proceso de telefonía. Pero si en ese momento hay una llamada, se corta, incluidas las dirigidas a los servicios de emergencia.
El problema se repite si el operador intenta entregar de nuevo el mensaje o si el contenido queda en cola y se vuelve a procesar. HDblog señala que bastan 20 mensajes para desencadenar un ciclo de reinicios. En un dispositivo con Android 12, el teléfono entró en modo de recuperación cada 90 segundos aproximadamente.
Para volver a usarlo hizo falta el restablecimiento de fábrica. El investigador describió también un procedimiento con ADB para eliminar los mensajes problemáticos, pero requiere un ordenador y conocimientos técnicos.
¿Hay datos en riesgo?
No, según DDay. La vulnerabilidad no permite robar contraseñas, fotos ni otros datos personales. Es un ataque de tipo denial of service, dirigido a la conectividad móvil.
Siempre según DDay, por ahora no se han identificado campañas a gran escala que la exploten. El investigador la comunicó a Google el 5 de mayo y publicó los detalles el 29 de octubre, después de reproducir el ataque en Google Pixel y Samsung Galaxy.
¿Quién está protegido y quién sigue expuesto?
La corrección, según la reconstrucción del investigador, se realizó en junio y se distribuyó con las actualizaciones de octubre para Android de la 14 a la 17. Para los Pixel que todavía tienen soporte, el nivel de parche es el del 5 de octubre de 2026.
Android 12 y 13 contienen el código vulnerable, pero la corrección no se ha distribuido porque esos sistemas ya no tienen soporte. Quien se quede con ellos sin actualizaciones del fabricante está expuesto. Punto Informatico señala que la actualización ha llegado a pocos dispositivos. El panorama recuerda a los datos sobre la lenta difusión de Android 17.
Límites que conviene conocer
El código CVE-2026-58882 no aparece explícitamente en el boletín de seguridad de Android de octubre, que sin embargo enumera otras fallas DoS del framework. La fecha de la corrección y la protección de los dispositivos parcheados proceden de la reconstrucción del investigador, no de una confirmación de Google en las fuentes. No sabemos cuántos teléfonos están realmente expuestos ni si existen explotaciones dirigidas.
Qué cambia para quien trabaja con lo digital
Para una empresa con teléfonos entregados a los empleados, el riesgo es la interrupción de llamadas y de la disponibilidad, no la fuga de datos. Conviene saber qué modelos y versiones de Android están en uso. Los dispositivos con Android 12 o 13 deben considerarse expuestos mientras sigan sin parche. La gestión de parches no vale solo para los teléfonos – la misma disciplina sirve para los sitios web, como explicamos al hablar de monitorización de las CVE.
Nuestra opinión
El caso muestra el límite histórico de Android. La corrección existe desde hace meses, pero la ventaja de quien la desarrolla se pierde si el fabricante no la distribuye o si el teléfono ya no tiene soporte. También llama la atención que el identificador no aparezca en el boletín de octubre, un detalle que complica el trabajo de quien debe verificar el estado de sus dispositivos. El riesgo es limitado, pero afectar a las llamadas de emergencia lo convierte en algo serio.
Preguntas frecuentes
¿Tengo que abrir el SMS para que me afecte?
No. La falla se activa durante el procesamiento del mensaje por parte del sistema. No hace falta abrirlo, tocar enlaces ni descargar archivos adjuntos.
¿El SMS of Death me roba los datos?
No. Según DDay, no permite robar contraseñas, fotos ni datos personales. Su objetivo es impedir que el teléfono funcione, sobre todo la conectividad móvil.
¿Qué versiones de Android están protegidas?
Android 14, 15, 16 y 17 con el parche de octubre, según el investigador. Android 12 y 13 contienen el código vulnerable y no han recibido la corrección.
¿Qué hago si el teléfono entra en bootloop?
El restablecimiento de fábrica funciona, pero borra los datos. Como alternativa existe un procedimiento con ADB para eliminar los mensajes problemáticos, que requiere un ordenador y conocimientos técnicos.
¿También se caen las llamadas de emergencia?
Sí. Las fuentes indican que el bloqueo interrumpe las llamadas en curso, incluidas las dirigidas a los servicios de emergencia. El fallo individual dura solo unos segundos.
Qué vigilar en las próximas semanas con los parches de Android
La clave está en las actualizaciones que llegan de verdad a los teléfonos. Conviene seguir algunas señales.
- Comprueba que los teléfonos actualizados muestren el nivel de parche de octubre o posterior.
- Sigue si Google incluye CVE-2026-58882 en sus boletines de seguridad.
- Sustituye o aísla los dispositivos con Android 12 y 13 que ya no reciben actualizaciones.
