Un investigador de seguridad ha publicado un exploit de prueba de concepto para una vulnerabilidad de Android parcheada recientemente, conocida como “SMS of Death”. Identificada como CVE-2026-58882, la falla permite a un atacante enviar un mensaje de texto especialmente diseñado que puede interrumpir la conectividad celular o bloquear de forma remota el teléfono objetivo.
El ataque no requiere ninguna interacción por parte del destinatario. Android procesa el mensaje antes de que llegue a la bandeja de entrada de SMS, por lo que la víctima podría no recibir ninguna indicación visible de qué provocó el fallo. El bloqueo puede interrumpir llamadas en curso, incluidas las llamadas de emergencia.
Según el investigador Mark Blah, la vulnerabilidad se debe a una validación incorrecta de un valor de longitud de encabezado en la función WapPushOverSms.decodeWapPdu de Android. Un mensaje WAP Push malformado de ocho bytes, enviado como un SMS de datos al puerto 2948, puede interpretarse como el valor entero con signo de 32 bits -2147483648. Android intenta entonces asignar memoria utilizando ese valor negativo, lo que provoca una NegativeArraySizeException en el proceso com.android.phone.
Dado que ese proceso gestiona las funciones celulares, el fallo puede desconectar llamadas e interrumpir el servicio móvil. El investigador también descubrió que el procesamiento repetido o la redistribución de los mensajes maliciosos puede provocar bloqueos adicionales. En las pruebas, 20 mensajes dejaron algunos teléfonos en ciclos de reinicio. Un dispositivo con Android 12 entró en modo de recuperación aproximadamente cada 90 segundos y requirió un restablecimiento de fábrica para recuperarse.
Blah afirmó que Google solucionó el problema en sus actualizaciones de seguridad de octubre de 2026 para las versiones de Android 14 a 17. Sin embargo, la vulnerabilidad no aparece en el boletín de seguridad de Google de octubre, y los dispositivos con Android 12 y 13 siguen expuestos si no han recibido la corrección.
El parche de Google, titulado “Fix remote DoS in decodeWapPdu”, captura las excepciones generadas al procesar mensajes malformados. También elimina los mensajes maliciosos de la base de datos de SMS para evitar bloqueos repetidos.
Un colaborador de GitHub identificó un método para eliminar los mensajes mediante Android Debug Bridge, aunque ese procedimiento requiere un ordenador y conocimientos técnicos más avanzados. La prueba de concepto publicada recientemente puede enviar los mensajes maliciosos desde otro dispositivo Android.
Las actualizaciones de seguridad de Android normalmente se instalan automáticamente en los teléfonos compatibles, pero la distribución depende del fabricante del dispositivo y del operador, y puede ser necesario reiniciar el teléfono para completar la instalación. Se recomienda a los usuarios instalar las últimas actualizaciones de seguridad disponibles, especialmente ahora que se ha publicado un exploit funcional.
Fuentes: BleepingComputer.