Una nueva y preocupante vulnerabilidad de seguridad ha sido detectada en el ecosistema de Android, afectando a una amplia gama de versiones del sistema operativo, específicamente desde Android 12 hasta Android 17. Esta amenaza, que ha sido bautizada bajo el nombre de "SMS de la muerte", tiene la capacidad de dejar los dispositivos móviles totalmente inoperables mediante el envío de un mensaje de texto malicioso, sin que la víctima tenga que realizar ninguna acción.
El mecanismo que desencadena este ataque es el uso de un mensaje WAP Push. Para comprender la magnitud del problema, es necesario explicar qué es esta tecnología. Un mensaje WAP Push es un tipo particular de mensaje de texto que no solo contiene texto plano, sino que incluye enlaces e instrucciones específicas diseñadas para que el dispositivo móvil las procese de manera automática en segundo plano. Un ejemplo común de su uso es la instrucción de abrir un archivo determinado en una página web sin que el usuario tenga que iniciar el proceso manualmente.
A pesar de que la tecnología WAP Push es considerada actualmente como obsoleta, sigue estando integrada en las aplicaciones de mensajería más básicas de los teléfonos inteligentes. Esta persistencia en el sistema es precisamente lo que los atacantes han aprovechado para explotar la vulnerabilidad identificada técnicamente como CVE-2026-58882. Al manipular un SMS de este tipo, los atacantes pueden desencadenar de forma remota un fallo de denegación de servicio (DoS).
Lo que hace que esta amenaza sea especialmente peligrosa es su naturaleza de "zero-click". Según las investigaciones realizadas por el experto en ciberseguridad Mark Blah, la característica más distintiva de este ataque es que no requiere absolutamente ninguna intervención por parte del usuario. A diferencia de otras amenazas donde la víctima debe hacer clic en un enlace sospechoso, abrir una aplicación maliciosa o descargar un archivo adjunto, el "SMS de la muerte" se ejecuta solo.
El proceso ocurre debido a la forma en que el sistema Android procesa los mensajes WAP Push. El dispositivo recibe el mensaje y, al detectar las instrucciones de procesamiento en segundo plano, las ejecuta automáticamente nada más llegar a la bandeja de entrada. En muchos casos, el usuario ni siquiera llega a notar que ha recibido un nuevo mensaje, ya que el sistema actúa antes de que se produzca cualquier notificación visible o interacción humana.
Una vez que el mensaje malicioso es procesado por el teléfono afectado, las consecuencias son inmediatas y graves. En primer lugar, el dispositivo entra en un bucle de reinicio infinito, lo que impide que el usuario pueda acceder a cualquier función del teléfono. Simultáneamente, el ataque interrumpe la cobertura de red del dispositivo. Esta pérdida de conectividad no solo corta las llamadas que estén en curso en ese momento, sino que impide realizar cualquier nueva llamada. Esta situación se vuelve crítica al bloquear el acceso a servicios de emergencia, dejando al usuario incomunicado en situaciones de riesgo.
El investigador Mark Blah ha contribuido a la comunidad de seguridad publicando el código fuente completo y una prueba de concepto para Android en la plataforma GitHub, permitiendo que otros expertos analicen el comportamiento de la vulnerabilidad y se desarrollen contramedidas efectivas.
Ante la gravedad de este fallo de denegación de servicio, Google ha respondido distribuyendo una corrección oficial. La solución para mitigar este riesgo se encuentra incluida en la actualización de seguridad de Android correspondiente al mes de octubre de 2026. Se recomienda a todos los usuarios de las versiones afectadas (desde la 12 hasta la 17) verificar que sus dispositivos estén debidamente actualizados para evitar que un simple mensaje de texto pueda bloquear su equipo y anular su conectividad móvil.
