Un mensaje de texto que no aparece en la pantalla, no necesita abrirse y ni siquiera exige que el usuario toque el teléfono puede interrumpir las comunicaciones de determinados dispositivos Android. Un investigador de seguridad publicó una demostración funcional de una vulnerabilidad que permite provocar fallas en el sistema encargado de administrar las conexiones celulares. El problema, identificado como CVE-2026-58882 y conocido como SMS of Death, puede terminar llamadas activas, incluidas las realizadas a servicios de emergencia. Google desarrolló una corrección para versiones recientes de Android, pero algunos dispositivos antiguos continúan expuestos.
El mensaje que no necesita aparecer en pantalla
Normalmente, cuando pensamos en un ataque mediante SMS, imaginamos un enlace fraudulento que intenta convencer al usuario de visitar una página o descargar una aplicación. Esta vulnerabilidad funciona de manera diferente: el contenido malicioso se procesa automáticamente antes de llegar a la bandeja de entrada.
El investigador Mark Blah publicó el análisis técnico y una prueba de concepto que demuestra cómo un mensaje especialmente manipulado puede provocar una falla en determinados componentes de Android. No se trata de un SMS convencional con palabras sospechosas, sino de un mensaje de datos diseñado para aprovechar un error de programación.
La vulnerabilidad pertenece a la categoría conocida como zero-click, porque no requiere ninguna interacción de la víctima. El teléfono intenta procesar el mensaje y el error ocurre dentro de un servicio del sistema operativo.
La consecuencia inmediata puede ser la interrupción de la conectividad celular. El usuario podría quedarse sin señal o perder una llamada sin recibir una explicación visible de lo sucedido.
Por qué puede interrumpir una llamada de emergencia
El fallo se encuentra en una función de Android denominada WapPushOverSms.decodeWapPdu, encargada de interpretar determinados mensajes de datos que llegan a través de la red móvil.
El problema surge cuando el sistema recibe información manipulada sobre la longitud de una sección del mensaje. Android puede interpretar ese valor de manera incorrecta e intentar reservar una cantidad de memoria imposible, provocando una excepción que interrumpe el proceso.
La parte especialmente delicada es que el componente afectado, identificado como com.android.phone, participa en la administración de funciones celulares esenciales.
Si ese proceso deja de funcionar mientras una persona está hablando, la comunicación puede cortarse. Esto incluye llamadas dirigidas a números de emergencia, aunque el comportamiento exacto depende del dispositivo y de las condiciones del ataque.
El hallazgo no demuestra que los delincuentes puedan escuchar conversaciones, leer mensajes privados o controlar completamente el teléfono. Su efecto documentado es provocar una denegación de servicio: impedir temporalmente que determinadas funciones trabajen con normalidad.
Esa diferencia importa porque una interrupción de comunicaciones puede resultar grave incluso cuando no existe robo de información.
Varios mensajes pueden provocar reinicios repetidos
Durante sus pruebas, el investigador descubrió que el problema podía agravarse cuando el dispositivo recibía varios mensajes maliciosos.
En uno de los experimentos, el envío de veinte mensajes provocó una secuencia de fallas que terminó afectando el funcionamiento general del teléfono. Un dispositivo con Android 12 entró en un ciclo de reinicios que lo devolvía repetidamente al modo de recuperación.
La situación puede complicarse porque las redes móviles intentan entregar nuevamente algunos mensajes que no fueron procesados correctamente. Si el contenido defectuoso permanece almacenado, el sistema puede volver a encontrarlo después de reiniciarse.
En el caso documentado, el dispositivo llegó a requerir un restablecimiento de fábrica para recuperar su funcionamiento normal.
Posteriormente, un colaborador identificado como Sakis encontró una forma de eliminar los mensajes problemáticos mediante Android Debug Bridge, una herramienta de mantenimiento utilizada por desarrolladores y usuarios avanzados.
Sin embargo, este procedimiento requiere conocimientos técnicos y acceso a una computadora. No es una solución práctica para la mayoría de los propietarios de teléfonos.
Google corrigió el problema, pero no todos están protegidos
Según el investigador, Google incorporó una corrección en las actualizaciones de octubre de 2026 para versiones compatibles de Android 14 a Android 17.
El cambio evita que los mensajes manipulados provoquen la falla del proceso y contempla la eliminación de contenidos problemáticos que podrían generar nuevos bloqueos.
Hay un detalle importante: la vulnerabilidad no aparece identificada expresamente en el boletín público de seguridad de Android correspondiente a octubre. La existencia de la corrección fue documentada mediante los cambios realizados en el código del sistema.
El investigador advierte que dispositivos con Android 12 y Android 13 permanecen expuestos cuando no reciben una actualización que incorpore esa solución.
Esto no significa que absolutamente todos los teléfonos con esas versiones sean vulnerables de manera idéntica. Los fabricantes pueden modificar componentes del sistema y distribuir correcciones independientes.
La protección real depende de la versión instalada, el fabricante, las actualizaciones disponibles y el mantenimiento que todavía reciba cada modelo.
Cómo comprobar si tu Android está actualizado
La principal recomendación es revisar las actualizaciones del sistema operativo y los parches de seguridad disponibles para el dispositivo.
En muchos teléfonos, esa información aparece dentro de Configuración, en las secciones de Sistema, Actualización de software o Seguridad. Los nombres cambian según el fabricante.
Conviene comprobar la fecha del parche instalado y aplicar las actualizaciones pendientes. En determinados casos, el dispositivo necesita reiniciarse para completar la instalación.
Si el fabricante dejó de ofrecer soporte, resulta más difícil garantizar que una vulnerabilidad como esta haya sido corregida. Los usuarios deben evaluar especialmente esa situación cuando dependen del teléfono para trabajar, desplazarse o solicitar asistencia.
También es importante entender que bloquear números desconocidos o evitar enlaces sospechosos no constituye una protección suficiente contra este fallo específico. El problema ocurre antes de que el mensaje aparezca como una comunicación ordinaria.
Una vulnerabilidad real, pero sin ataques masivos confirmados
La publicación de una prueba de concepto demuestra que el ataque es técnicamente viable en dispositivos vulnerables. Además, facilita que otros investigadores reproduzcan el problema y comprueben si sus equipos están protegidos.
Sin embargo, hasta el momento no hay evidencias públicas de una campaña criminal masiva que esté utilizando esta vulnerabilidad contra usuarios de Android.
Tampoco existe información que permita afirmar que todos los celulares Android pueden bloquearse con un simple SMS.
La noticia es relevante precisamente porque expone una debilidad en una función que suele pasar inadvertida. Los teléfonos procesan continuamente información de las redes móviles sin mostrarla al usuario, y esos mecanismos también necesitan controles de seguridad.
Un mensaje que nadie ve puede ser suficiente para interrumpir una llamada en un equipo vulnerable. La mejor defensa no consiste en aprender a reconocerlo, sino en mantener actualizado el sistema que debe procesarlo.
