Una falla en el procesamiento de mensajes permite interrumpir el servicio de telefonía sin que la víctima abra un SMS, pulse un enlace o realice alguna acción. Las pruebas también muestran que el problema puede provocar fallos repetidos y ciclos de reinicio.
Los SMS peligrosos suelen asociarse con enlaces fraudulentos y mensajes que intentan engañar al usuario. Sin embargo, la investigación conocida como SMS of Death expone un escenario diferente: el teléfono puede verse afectado simplemente al recibir y procesar un mensaje especialmente manipulado.
El investigador de seguridad Mark Blaszczyk hizo públicos sus hallazgos el 29 de octubre de 2026, después de haber comunicado el problema a Google en mayo. Las pruebas incluyeron un Google Pixel 9 y diferentes dispositivos Samsung Galaxy.
Cómo funciona el ataque
La falla está relacionada con WAP Push, una tecnología utilizada para entregar datos al teléfono, por ejemplo, en funciones asociadas con mensajes multimedia y configuraciones de los operadores.
Android procesa estos mensajes automáticamente. En los equipos vulnerables, un error al interpretar determinados valores puede provocar el cierre de com.android.phone, el proceso encargado de funciones de telefonía.
El mensaje malicioso no aparece como un SMS convencional: puede llegar sin notificación y sin dejar un contenido visible en la aplicación de mensajes. Por eso se describe como un ataque zero-click, es decir, que no requiere interacción de la víctima.
Qué consecuencias puede tener
El cierre del proceso puede cortar llamadas activas, incluidas las de emergencia, y dejar temporalmente al equipo sin servicio mientras la telefonía se reinicia.
Según el investigador, la situación puede agravarse cuando el operador vuelve a entregar el mensaje o el teléfono intenta procesarlo nuevamente. En las pruebas se observaron interrupciones persistentes y, en determinados casos, ciclos de reinicio que dificultan recuperar el funcionamiento normal. Reiniciar el equipo no garantiza resolver el problema.
El impacto demostrado corresponde a una denegación de servicio. Los resultados publicados no acreditan que esta falla permita robar archivos, escuchar conversaciones o tomar el control remoto del dispositivo.
Qué equipos están expuestos y qué se corrigió
El investigador identifica código afectado en distintas versiones desde Android 12. Sin embargo, la versión de Android por sí sola no permite determinar si un teléfono sigue siendo vulnerable: también deben considerarse las correcciones que recibió.
Una actualización posterior a la nota original aporta un dato relevante: el boletín oficial de Android de noviembre de 2026 incluye CVE-2026-58882, clasificada como una vulnerabilidad crítica de denegación de servicio en el componente System.
Google enumera versiones corregidas de AOSP para Android 14, 15, 16 y 17. El boletín señala que los niveles de parche de seguridad 2026-11-05 o posteriores corrigen todos los problemas incluidos en esa publicación. Esto no significa que todos los fabricantes hayan distribuido ya la actualización a sus dispositivos.
Qué deberían hacer los usuarios
La principal medida es instalar las actualizaciones de seguridad disponibles, revisar la fecha del parche instalado y consultar al fabricante sobre la corrección para el modelo concreto.
En equipos que ya no reciben soporte, conviene evaluar su reemplazo por un dispositivo con actualizaciones vigentes. En este caso, reconocer mensajes fraudulentos no alcanza como defensa: el procesamiento que desencadena la falla ocurre sin intervención del usuario.
Captura del sitio de la investigación. Crédito: Mark B / smsofdeath.com. La página menciona una distribución inicial de la corrección en octubre; el boletín oficial de noviembre ya incluye el CVE.
Fuente: Boletín de seguridad de Android
