Publican un exploit para «SMS of Death», la falla de Android que tumba la señal con un solo mensaje

La falla CVE-2026-58882 puede cortar llamadas, incluso de emergencia, sin que el usuario toque nada. Android 12 y 13 se quedaron sin parche.

Un investigador publicó una prueba de concepto para «SMS of Death», una falla de Android identificada como CVE-2026-58882, informó BleepingComputer el 31 de octubre de 2026. Con un mensaje de texto especialmente armado, un atacante puede interrumpir el servicio celular o hacer que el teléfono se reinicie.

El ataque no requiere ninguna acción de la víctima y puede cortar llamadas en curso, incluidas las de emergencia. Android procesa el mensaje antes de que llegue a la bandeja, así que el usuario no ve qué causó la caída. El error está en cómo la función WapPushOverSms.decodeWapPdu valida un campo de longitud: un mensaje WAP Push de ocho bytes provoca una excepción que tumba el proceso com.android.phone, que maneja la red celular.

Según el investigador, Mark Blah, Google corrigió la falla en las actualizaciones de octubre de 2026 para Android 14 a 17, aunque no aparece en el boletín de seguridad de ese mes. Los equipos con Android 12 y 13 siguen vulnerables. En sus pruebas, 20 mensajes dejaron teléfonos atrapados en ciclos de reinicio; un equipo con Android 12 tuvo que restaurarse de fábrica.

El parche atrapa la excepción y borra los mensajes maliciosos de la base de datos de SMS. Ahora que el exploit es público, se recomienda instalar la última actualización disponible. La llegada depende del fabricante y la operadora, y puede requerir reiniciar el teléfono.

Fuente: BleepingComputer: «New Android SMS of Death exploit can remotely crash unpatched phones», 31 de octubre de 2026.