Exploit ‘SMS of Death’ en Android permite bloquear teléfonos sin parchear de forma remota

Un investigador de seguridad ha divulgado un exploit de prueba de concepto para una vulnerabilidad de Android recientemente corregida, bautizada como 'SMS of Death' y catalogada como CVE-2026-58882. El fallo permite a un atacante interrumpir el servicio celular o provocar el bloqueo del dispositivo enviando un mensaje de texto manipulado, sin que la víctima tenga que interactuar con él.

Se trata de una denegación de servicio de tipo zero-click que puede cortar llamadas en curso, incluidas las dirigidas a servicios de emergencia. Además, el sistema procesa el mensaje antes de que llegue a la bandeja de entrada de SMS, por lo que el usuario no recibe ninguna señal visible sobre la causa del fallo.

Según el investigador Mark Blah, Google habría corregido la vulnerabilidad en sus actualizaciones de seguridad de Android de octubre de 2026 para las versiones 14 a 17. Sin embargo, el fallo no aparece en el boletín de seguridad de octubre de Google, y los dispositivos más antiguos con Android 12 y 13 siguen siendo vulnerables porque no recibieron la corrección.

Blah publicó un análisis técnico del problema, originado por una validación incorrecta de un valor de longitud de cabecera en la función WapPushOverSms.decodeWapPdu de Android.

Para explotar la falla, un atacante puede enviar a los teléfonos objetivo un mensaje WAP Push malformado de ocho bytes. Al interpretarse ese valor como un entero de 32 bits con signo sin comprobación de límites, se convierte en -2147483648. Cuando Android intenta asignar memoria con ese valor negativo, se produce una NegativeArraySizeException que bloquea el proceso com.android.phone.

Dado que el proceso com.android.phone gestiona las funciones celulares, el fallo interrumpe la conectividad móvil y desconecta las llamadas telefónicas en curso, incluidas las realizadas a servicios de emergencia.

El investigador señala que el ataque también puede provocar bloqueos repetidos cuando los operadores intentan reenviar los mensajes maliciosos o cuando Android trata de procesar mensajes ya almacenados en el teléfono.

Durante las pruebas, el investigador comprobó que el envío de 20 mensajes maliciosos puede dejar a los teléfonos atrapados en bucles de reinicio. En un dispositivo con Android 12, el teléfono reiniciaba en modo de recuperación aproximadamente cada 90 segundos, lo que obligaba al usuario a restablecerlo de fábrica.

Un colaborador de GitHub llamado Sakis encontró una forma de eliminar los mensajes maliciosos mediante Android Debug Bridge (ADB), aunque el procedimiento exige conocimientos técnicos avanzados y acceso a un computador.

El investigador ha publicado un exploit de prueba de concepto capaz de enviar los mensajes maliciosos desde otro dispositivo Android.

La corrección de Google, titulada 'Fix remote DoS in decodeWapPdu', evita los bloqueos al capturar las excepciones que se generan cuando Android procesa los mensajes de texto malformados. El parche también elimina los mensajes maliciosos de la base de datos de SMS para impedir que provoquen bloqueos repetidos.

Las actualizaciones de seguridad de Android suelen instalarse automáticamente en los dispositivos compatibles, pero su disponibilidad depende del fabricante y del operador, y puede ser necesario reiniciar el equipo para completar la instalación.

Ahora que se ha publicado un exploit de prueba de concepto funcional, se recomienda encarecidamente a los usuarios de Android que instalen las últimas actualizaciones de seguridad para proteger sus dispositivos.

Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones

Las puntuaciones generales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El informe Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.