«SMS of Death»: un texto invisible de 8 bytes tumba las llamadas de Android, incluidas las de emergencia, y el exploit ya es público

Un mensaje que la víctima nunca ve puede dejar su Android sin llamadas, también sin llamadas de emergencia. BleepingComputer ha publicado hoy que ya circula una prueba de concepto funcional para el fallo «SMS of Death», rastreado como CVE-2026-58882: un SMS de datos WAP Push malformado, de solo ocho bytes, que Android procesa en segundo plano y tumba com.android.phone, el proceso que gestiona la telefonía. No hace falta abrir nada ni ver notificación alguna, y el número del atacante tampoco se muestra.

Según el análisis del investigador independiente Mark Blaszczyk, que lo divulgó el 29 de octubre, la función WapPushOverSms.decodeWapPdu lee la longitud de la cabecera como un valor largo y lo convierte a entero de 32 bits sin comprobar el rango: un valor concreto se vuelve -2.147.483.648, Android intenta reservar un array de ese tamaño negativo y la excepción mata el proceso. Cada mensaje corta el servicio uno o dos segundos y derriba la llamada en curso; como la operadora reenvía lo no confirmado, el golpe se repite.

El daño escala rápido. En las pruebas del investigador, reproducidas siempre en un Pixel 9 y en varios Samsung Galaxy, unos 20 mensajes dejan el teléfono inutilizable un periodo largo: el mensaje queda en cola, se reintenta en cada arranque y el sistema entra en recuperación cada ~90 segundos. Salir exige un ordenador y ADB, o el restablecimiento de fábrica. Blaszczyk lo reportó a Google el 5 de mayo y sostiene que la empresa lo cerró como un problema que no era de seguridad.

El código vulnerable está desde Android 12 y el fallo se ha reproducido de Android 12 a 16. Google escribió su corrección el 15 de junio —visible en el código abierto de Android— y, según el investigador, llegó con la actualización de octubre para Android 14 a 17. Pero Android 12 y 13, fuera de la ventana de actualizaciones, no reciben el parche; con los datos de distribución de Google suman ~21% de los Android activos, uno de cada cinco.

Queda una zona gris: el CVE no aparece en el boletín de octubre de Google, y Android Authority y GrapheneOS sitúan su ficha en el de noviembre. Lo práctico no cambia: quien tenga Android 14 o posterior debe instalar cuanto antes la actualización de octubre o posterior de su fabricante, y quien siga en Android 12 o 13 no tiene parche que esperar.