Un nuevo exploit llamado SMS of Death («SMS de la muerte») para Android podría permitir a un atacante interrumpir a distancia el funcionamiento de un móvil e incluso dejarlo completamente inutilizado con un solo mensaje especialmente diseñado. El ataque pertenece a la clase zero click, es decir, la infección se produce al recibir el mensaje, aunque el usuario no lo abra. Los móviles con versiones antiguas de Android —12 y 13— están en riesgo.
Fuente de la imagen: Julio Lopez/unsplash.com
El investigador de seguridad Mark Blah ha dado a conocer los detalles de la vulnerabilidad CVE‑2026‑58882, conocida oficiosamente como SMS of Death. Se trata de una vulnerabilidad de denegación de servicio (DoS) que no requiere ninguna acción por parte del usuario: basta con que el mensaje llegue al móvil. Android lo procesa antes de que llegue a la carpeta de entrada, por lo que al principio resulta difícil determinar qué ha provocado exactamente el fallo.
Según el investigador, Google corrigió esta vulnerabilidad en las actualizaciones de seguridad de Android de octubre de 2026 (para las versiones 14 a 17), mientras que los dispositivos con versiones más antiguas —Android 12 y 13— siguen siendo vulnerables.
La vulnerabilidad está relacionada con una comprobación incorrecta del valor de longitud de la cabecera en la función WapPushOverSms.decodeWapPdu del sistema operativo Android. Al convertir los datos de un mensaje WAP Push de ocho bytes especialmente diseñado en un entero de 32 bits con signo (sin comprobar los límites del rango), el sistema obtiene un valor negativo que provoca la excepción crítica NegativeArraySizeException. Como resultado, finaliza de forma abrupta el proceso com.android.phone, responsable de la telefonía móvil. En consecuencia, se interrumpen las llamadas en curso (incluidas las dirigidas a los servicios de emergencia).
El investigador señala que el ataque puede provocar fallos repetidos: por ejemplo, cuando el operador de telefonía intenta entregar de nuevo el mensaje malicioso o cuando Android trata de procesar mensajes ya guardados en la memoria del dispositivo. Estos se pueden eliminar manualmente mediante Android Debug Bridge (ADB), pero solo está al alcance de usuarios con conocimientos técnicos.
Blah ha publicado una prueba de concepto (proof-of-concept) del exploit que permite enviar estos mensajes maliciosos desde otro dispositivo con Android. Por ello, se recomienda a los usuarios de dispositivos Android que instalen las últimas actualizaciones de seguridad.