Un SMS invisible puede cortar las llamadas de un Android sin parche: qué se sabe

Qué ha pasado

Un investigador independiente ha publicado los detalles técnicos de un fallo de Android que apoda «SMS of Death» y que figura como CVE-2026-58882. Un CVE es el número de registro público de una vulnerabilidad. Según su análisis, un mensaje WAP Push mal formado, un formato heredado de mensajería móvil, hace que se bloquee el proceso de telefonía del sistema. El móvil lo procesa antes de que el mensaje llegue a la bandeja de entrada, así que el usuario no ve ni recibe nada.

El investigador, que firma como Mark B. (los medios no coinciden en el apellido), avisó a Google el 5 de mayo de 2026. Google escribió la corrección el 15 de junio y el detalle técnico se hizo público el 29 de octubre. También liberó una prueba de concepto, un programa de demostración, que no enlazamos aquí.

Qué provoca en el móvil

Es un fallo de denegación de servicio: no roba datos, deja el servicio sin funcionar. El equipo pierde la conexión móvil durante uno o dos segundos por mensaje y se corta cualquier llamada en curso, incluidas las de emergencia. Según Phandroid, basta con conocer el número de teléfono de la víctima.

Si el mensaje malicioso se repite, el efecto empeora. Con unos 20 mensajes, el investigador observó en un Android 12 reinicios cada 90 segundos y tuvo que restablecer el móvil de fábrica. Los operadores pueden volver a entregar esos mensajes, lo que puede repetir el fallo tras reiniciar. Salir de ese bucle exige un ordenador y conocimientos técnicos.

A quién afecta y qué parche existe

• Android 14 a 17: la corrección está en la actualización de seguridad de octubre de 2026 o en una posterior, según el investigador y BleepingComputer.
• Android 12 y 13: siguen vulnerables, porque usan el mismo código y no recibirán el parche.
• Fabricantes: ninguna fuente enumera marcas afectadas. Phandroid cuenta que las pruebas se hicieron con un Google Pixel 9 y varios Samsung Galaxy. Cuándo llega la actualización depende de cada fabricante y de cada operadora.
• Versiones anteriores: el análisis del investigador solo cita Android 12 a 17 y no dice nada de Android 11 y anteriores.

Cómo comprobar si tu móvil está protegido

1. Abre Ajustes y busca «Información del teléfono» (o «Acerca del teléfono» o «Información del software»; el nombre y la ruta varían según la marca).
2. Localiza la fecha del parche de seguridad de Android. El boletín de octubre fija el nivel «2026-10-01»; si tu fecha es de octubre de 2026 o posterior, el móvil debería incluir la corrección.
3. Si es anterior, busca actualizaciones en Ajustes e instálalas.
4. Si tienes Android 12 o 13, pregunta a tu fabricante u operadora si recibirás la corrección o si conviene cambiar de equipo.

Por qué importa

La mayoría de los fallos graves de un móvil necesitan que alguien pulse un enlace o instale una aplicación. Este no: se activa solo con recibir un mensaje. Que afecte a las llamadas de emergencia lo convierte en un problema de ciberseguridad más serio de lo que sugiere que no robe datos, y deja a quien aún usa Android 12 o 13 sin una defensa clara: las fuentes solo apuntan a consultar al fabricante o a la operadora sobre una actualización o un cambio de equipo. En la sección de informática seguimos este tipo de avisos, como el de la extensión manipulada de Claude Code en Cursor.

Qué falta por saber

• Si Google reconoce el fallo como vulnerabilidad: el boletín de octubre no lo menciona en el contenido que hemos revisado. Phandroid recoge, además, que CyberInsider asegura que Google lo consideró un problema ajeno a la seguridad, algo que no hemos podido contrastar. The 420, que cita a Android Authority, dice que a Google le costó admitirlo como vulnerabilidad.
• Si la fecha de parche de octubre garantiza por sí sola la corrección en todas las marcas.
• Si hay ataques reales: hasta ahora no se ha informado de ninguno, según Phandroid.
• Si Android 12 y 13 recibirán alguna corrección o una medida alternativa.