El investigador de seguridad Mark Blah ha lanzado una herramienta de prueba de concepto para explotar una vulnerabilidad recientemente parcheada en el sistema operativo Android, denominada "SMS of Death" (SMS de la muerte) y registrada bajo el identificador (CVE-2026-58882). Esta vulnerabilidad permite a los atacantes desactivar los servicios de comunicación celular o bloquear los teléfonos objetivo de forma remota y sin ninguna interacción del usuario mediante el envío de un mensaje de texto especialmente modificado.
Esta vulnerabilidad se clasifica dentro de los ataques de denegación de servicio que no requieren interacción (Zero-click), ya que puede interrumpir las llamadas en curso, incluidas las llamadas de emergencia. Lo más grave es que el sistema Android procesa el mensaje antes de que llegue a la bandeja de entrada, lo que no deja al usuario ninguna indicación visual que explique por qué su dispositivo ha fallado.
¿Cómo funciona la vulnerabilidad WapPushOverSms?
El investigador técnico explicó que la vulnerabilidad se debe a una validación incorrecta del valor de longitud de la cabecera en la función (decodeWapPdu) dentro de los componentes (WapPushOverSms) en el sistema Android. Para ejecutar el ataque, se puede enviar un mensaje push (WAP Push) corrupto compuesto por ocho bytes al puerto (2948) como datos de servicio de mensajes cortos.
Al traducir este valor a un número entero con signo de 32 bits sin verificar los límites, se convierte en (-2147483648), y cuando Android intenta asignar memoria utilizando este valor negativo, se lanza una excepción (NegativeArraySizeException) que provoca el colapso del proceso de gestión de comunicaciones (com.android.phone). Como resultado, se interrumpen las comunicaciones celulares y los dispositivos fallan.
Riesgos de repetición y bucles de reinicio
Las pruebas del investigador demostraron que el envío de 20 mensajes maliciosos puede provocar que los teléfonos entren en bucles de reinicio continuos. En uno de los dispositivos con Android 12, el teléfono se reiniciaba al modo de recuperación (Recovery Mode) aproximadamente cada 90 segundos, lo que requirió un restablecimiento de fábrica para restaurar el funcionamiento del dispositivo.
Aunque Google ha incluido un parche de seguridad que soluciona el problema mediante la captura de excepciones y la eliminación de mensajes maliciosos de la base de datos de SMS, los dispositivos antiguos como Android 12 y 13 siguen siendo vulnerables al no recibir la actualización.
¿Qué significa esto para los usuarios?
Con la disponibilidad pública de la herramienta de prueba de concepto, se recomienda a los usuarios de Android compatibles que instalen las últimas actualizaciones de seguridad tan pronto como estén disponibles para proteger sus dispositivos de posibles ataques y evitar fallos repetidos del sistema.