Publican un exploit para el fallo de Android que deja el móvil sin red con un SMS
Un investigador de seguridad ha publicado un exploit funcional para un fallo de Android que permite a cualquiera que conozca tu número dejar el teléfono sin red móvil con un solo SMS oculto. La vulnerabilidad, que el investigador llama «SMS of Death» y que BleepingComputer identifica como CVE-2026-58882, hace caer el proceso del sistema que gestiona las llamadas y los datos móviles, y puede cortar una llamada a emergencias en curso. Google la corrigió en la actualización de seguridad de Android de octubre de 2026 para Android 14 a 17. Los teléfonos con Android 12 y 13 no reciben ese parche, informó BleepingComputer el 31 de octubre.
Cómo un mensaje deja el teléfono sin red
El ataque usa WAP Push, un antiguo formato de SMS con el que los operadores envían ajustes y mensajes de servicio a los teléfonos. Según el análisis técnico del investigador Mark B, Android lee un valor de longitud de la cabecera del mensaje y lo convierte en un número negativo sin comprobarlo. Cuando el sistema intenta reservar memoria de ese tamaño, el proceso com.android.phone se cae. Ese proceso gestiona las llamadas, los SMS y los datos móviles, así que el teléfono pierde la cobertura uno o dos segundos y cualquier llamada activa se corta.
La víctima no tiene que tocar ni abrir nada. El mensaje llega como SMS de datos, nunca aparece en la aplicación de mensajes y no se muestra el número del remitente. Según el investigador, el fallo se reprodujo en Android 12 a 16, con un 100 % de éxito en un Pixel 9 con el firmware de abril de 2026 y en varios modelos Samsung Galaxy.
Por qué un solo SMS puede provocar reinicios en bucle
Si el teléfono no confirma la entrega, el operador reenvía el mensaje y el teléfono vuelve a fallar. Además, el mensaje se queda en la cola de SMS entrantes y se procesa en cada arranque. En las pruebas, un solo mensaje provocó cortes intermitentes durante hasta una semana. Unos 20 mensajes dejaron un dispositivo inservible durante mucho tiempo. Un teléfono con Android 12 se reiniciaba en modo de recuperación cada 90 segundos aproximadamente, y allí Android ofrece borrar todos los datos.
Un usuario de GitHub encontró una forma de salir del bucle sin restablecer el teléfono de fábrica: borrar los mensajes maliciosos mediante ADB, la herramienta de depuración de Android, en el breve intervalo tras cada arranque. Hacen falta un ordenador, la depuración USB activada de antemano y ciertos conocimientos técnicos, así que la mayoría de la gente con el teléfono atrapado en ese bucle acabaría borrándolo.
Un parche discreto que deja fuera a los teléfonos antiguos
El investigador afirma que comunicó el fallo a Google el 5 de mayo de 2026. Una corrección titulada «Fix remote DoS in decodeWapPdu» se incorporó al código en junio y llegó con la actualización de seguridad de octubre de 2026 para Android 14 a 17. No añade la comprobación de longitud que proponía el investigador: captura el fallo y borra el mensaje que lo provoca para que no vuelva a dispararse en el siguiente arranque. La vulnerabilidad no figura en el boletín de seguridad de octubre de Google. Android 12 y 13 usan el mismo código, pero ya no reciben actualizaciones.
La aplicación de prueba de concepto se publicó en GitHub el 29 de octubre. Envía el mensaje de un teléfono Android a otro, así que el ataque ya no requiere ningún equipo especial.
Cómo comprobar tu teléfono
Abre los ajustes y busca la fecha de la actualización de seguridad. En los Pixel está en Ajustes, Información del teléfono, Versión de Android, «Actualización de seguridad de Android». En los Samsung, en Ajustes, Acerca del teléfono, Información de software, «Nivel de parche de seguridad de Android». Una fecha del 1 de octubre de 2026 o posterior significa que el parche está instalado, siempre que el teléfono tenga Android 14 o una versión más reciente. Si hay una actualización pendiente, instálala y reinicia el teléfono. Las fechas dependen del fabricante y del operador, por lo que algunos teléfonos con Android 14 a 17 la recibirán más tarde que los Pixel.
Si tu teléfono tiene Android 12 o 13, no llegará ninguna corrección oficial. Una VPN no sirve de nada aquí: el ataque llega por la red móvil, no por internet. Para quien dependa de un teléfono así para llamar a emergencias, la única protección real es un dispositivo más nuevo que siga recibiendo actualizaciones.
