„SMS de la muerte“ puede deshabilitar un teléfono Android de forma remota. Existe una solución, pero es probable que los móviles más antiguos no la reciban

El teléfono cuelga solo en medio de una llamada, pierde la señal por un momento y luego comienza a reiniciarse repetidamente. Este es exactamente el escenario que describe el investigador de seguridad Mark Blaszczyk, quien ha publicado una vulnerabilidad de Android con el elocuente apodo de SMS de la muerte. Afecta a las versiones de Android 12 a 17 y al atacante solo le basta con conocer su número de teléfono.

Basta un mensaje que ni siquiera verá

Como Blaszczyk describe en el sitio web dedicado al error, se trata de un ataque en el que la víctima no tiene que hacer nada mal (a diferencia, por ejemplo, del phishing). El atacante envía un mensaje WAP Push modificado, un tipo de SMS obsoleto que los operadores utilizan para enviar instrucciones ocultas a los teléfonos, como descargar MMS o configurar la red. Al procesarlo, Android encuentra un valor mal manejado y el servicio del sistema para llamadas telefónicas se bloquea. Las llamadas en curso se terminan inmediatamente, incluidas las de emergencia. Además, el mensaje no se muestra en absoluto, por lo que ni siquiera se ve el número del remitente.

Lo peor es lo que sigue. El teléfono intenta procesar el mensaje de nuevo en cada inicio, por lo que el fallo se repite. Según el investigador, unas 20 de estas notificaciones son suficientes para que el teléfono sea prácticamente inutilizable. Aproximadamente cada 90 segundos, se reinicia en modo de recuperación y ofrece borrar los datos. Además, los operadores entregan los mensajes no confirmados repetidamente, por lo que en sus pruebas, un solo SMS causó interrupciones durante hasta una semana. Replicó el error con un éxito del cien por cien en un Pixel 9 y en varios teléfonos Samsung Galaxy.

Google inicialmente rechazó el error, pero ya existe una solución

Blaszczyk informó del error a Google el 5 de mayo. Este, supuestamente, lo calificó repetidamente como un problema no relacionado con la seguridad y cerró el informe como «Will Not Fix». Por ello, el investigador publicó los detalles y una demostración funcional del ataque el 29 de octubre. Sin embargo, como señala el servidor alemán Heise Online, los ingenieros de Google ya habían preparado la solución el 15 de junio. Según el proyecto GrapheneOS, los fabricantes la recibieron en julio como parte de los paquetes de seguridad preliminares, por lo que el rechazo del informe podría haber sido un malentendido interno.

El error está etiquetado como CVE-2026-58882 con una gravedad crítica y se espera que aparezca en el boletín de seguridad de noviembre. La solución en sí, según el investigador, forma parte de la actualización de seguridad de octubre para Android 14 a 17, y los teléfonos con un nivel de seguridad de octubre de 2026 o posterior están protegidos. Sin embargo, dado que Google no incluirá oficialmente el error hasta el boletín de noviembre, el parche de noviembre ofrecerá más seguridad. El nivel de seguridad se encuentra en la configuración del teléfono, generalmente en la sección «Acerca del teléfono». Cuándo recibirán el parche los teléfonos individuales depende de sus fabricantes.

Los propietarios de dispositivos más antiguos con Android 12 y 13, que Google ya no soporta, están en peor situación. Es probable que no reciban la solución a menos que el fabricante la prepare por su cuenta.

¿Qué nivel de seguridad tiene su teléfono?

Fuentes: SMS of Death (Mark Blaszczyk), heise online, Android Authority