- Un SMS WAP Push manipulado puede bloquear la telefonía de Android sin que el usuario toque nada.
- La brecha CVE-2026-58882 afecta a versiones desde Android 12 hasta Android 17 y provoca cortes de llamadas, caída de cobertura y bucles de reinicio.
- La corrección de octubre cubre Android 14 a 17; Android 12 y 13 siguen expuestos si no hay parche del fabricante.
- Es una denegación de servicio, no un robo de datos, y requiere conocer el número y poder enviar mensajes de datos sin procesar.
Un mensaje de texto puede bastar para dejar un móvil Android sin cobertura y, en los casos más pesados, atrapado en un ciclo de reinicios. La amenaza se ha bautizado como “SMS de la muerte” y no necesita que la persona toque ningún enlace, abra una aplicación ni descargue un archivo: el terminal procesa el mensaje por su cuenta y el daño aparece sin aviso previo.
El fallo afecta al componente de telefonía del sistema, así que no se limita a una marca concreta. Se le ha asignado el identificador CVE-2026-58882 y está relacionado con los mensajes WAP Push, un formato antiguo que puede llevar un enlace e instrucciones para que el móvil procese algo en segundo plano. Las operadoras lo han usado para enviar ajustes y sigue presente en muchos teléfonos.
Un ataque de cero clic que interrumpe llamadas
La clave está en que el mensaje no aparece necesariamente en la bandeja de entrada ni pide confirmación. Al llegar, Android intenta procesarlo y un envío mal formado puede hacer que el sistema intente reservar una cantidad de memoria imposible. Eso bloquea el proceso que gestiona la señal móvil y las llamadas, de modo que una comunicación en curso se corta y no se pueden iniciar otras, incluidas las dirigidas a servicios de emergencia.
Cada envío puede dejar al usuario sin servicio uno o dos segundos, pero el daño real llega al repetirlo. En pruebas controladas, un solo mensaje provocó cortes intermitentes durante hasta una semana y varios envíos seguidos multiplicaron el problema hasta dejar el teléfono inservible. La operadora puede reenviar mensajes que el móvil no ha confirmado, lo que alarga el efecto. Con alrededor de una veintena de mensajes manipulados, el equipo puede quedar atrapado en un bucle de reinicio en el que apenas da tiempo a reaccionar.
Qué versiones quedan expuestas y qué papel juega el parche
La vulnerabilidad se extiende por distintas versiones de Android, desde Android 12 hasta Android 17. La corrección llegó con la actualización de seguridad de octubre para Android 14 a 17, pero los equipos que siguen en Android 12 o 13 no recibieron ese arreglo. Por eso, aunque el móvil haga llamadas con normalidad, no hay garantía de que pueda mantenerlas o terminarlas si recibe un mensaje preparado para aprovechar la brecha.
El parche no elimina el formato WAP Push ni cambia el funcionamiento normal del teléfono: evita el bloqueo y retira el mensaje problemático para que no vuelva a activarse. Google no añadió la comprobación de longitud que había propuesto el investigador, según el análisis público del fallo. En la práctica, la protección depende de la fecha real del parche, no solo de la versión de Android que aparezca en los ajustes.
Fabricantes, operadoras y actualizaciones que no siempre llegan
Los parches de seguridad no llegan igual a todos los terminales. Samsung, Motorola, Xiaomi y otros fabricantes distribuyen las actualizaciones según su propio calendario, y las operadoras pueden retrasar su despliegue. Eso significa que un móvil con una versión reciente de Android podría seguir esperando la corrección, mientras que otro más antiguo quizá ya no reciba soporte. El fallo está en el código de telefonía común, así que no se arregla cambiando de marca sin más.
En las pruebas también se reprodujo el bloqueo en un Google Pixel y en varios Samsung Galaxy, incluidos modelos de la serie A que aún no habían recibido la solución. Cuando el mensaje malicioso se queda en cola, se vuelve a procesar cada vez que arranca el móvil. Un Android 12 llegó a reiniciarse en modo de recuperación aproximadamente cada 90 segundos, un bucle del que una persona normal solo podría salir restableciendo los valores de fábrica, con la pérdida de datos que eso supone. Hay una vía para borrar únicamente los mensajes conflictivos, pero exige un ordenador, activar el debug USB y actuar en el breve margen posterior a cada reinicio.
Qué puede hacer el ataque y qué no
Conviene no vender la amenaza como algo más grande de lo que es. Se trata de una denegación de servicio: el mensaje no puede leer datos, instalar programas ni tomar el control del móvil. El atacante necesita conocer el número de la víctima y disponer de una forma de enviar mensajes de datos sin procesar. La herramienta publicada envía esos mensajes desde otro Android con tarjeta SIM, por lo que la operadora puede dejar rastro del envío.
El investigador publicó una prueba de concepto y el código fuente completo en GitHub; aun así, no ha trascendido ningún informe que describa su uso contra personas reales. El boletín de seguridad de octubre no incluye una referencia clara a la solución, así que muchos propietarios de móviles antiguos no han recibido un aviso oficial. El riesgo existe, pero no es lo mismo que un espionaje ni que un robo de información: el daño principal es dejar el teléfono sin servicio y, en el peor de los casos, forzar un reinicio de fábrica.
Cómo saber si tu móvil está al día
La comprobación es sencilla: entra en Ajustes, busca Información del teléfono o Seguridad y mira la fecha de la actualización de seguridad de Android. Las actualizaciones de octubre en adelante incluyen la corrección para las versiones compatibles. Si el terminal se ha quedado en Android 12 o 13, la única protección completa pasa por cambiar a un dispositivo que siga recibiendo parches; bloquear números desconocidos o evitar abrir enlaces no resuelve este caso, porque el mensaje se procesa en segundo plano.
El investigador que documentó el fallo lo comunicó al programa de recompensas de Android el 5 de mayo. Un ingeniero de Google escribió la solución a mediados de junio y esta llegó con la actualización de octubre para Android 14 a 17. El análisis público y la prueba de concepto se conocieron después, el 29 de octubre. El margen entre el aviso y la publicación explica por qué algunos terminales antiguos se han quedado fuera de juego.
El “SMS de la muerte” es una brecha de denegación de servicio en la telefonía de Android que se activa con un mensaje WAP Push manipulado, sin tocar nada. Los equipos Android 12 y 13 siguen expuestos si no han recibido el parche, mientras que la corrección de octubre cubre Android 14 a 17. No se ha documentado un uso masivo contra usuarios reales, pero conviene revisar la fecha de seguridad del móvil y, si se ha quedado sin soporte, valorar el cambio de dispositivo.
