SMS of Death deja un teléfono Android sin llamadas con un solo mensaje que la víctima nunca ve. La vulnerabilidad de Android vive en el trato de los mensajes WAP Push, esos datos que llegan por el puerto 2948 sin pasar por la bandeja de entrada, y su efecto más feo es concreto: corta llamadas activas, incluidas las de emergencia, mientras el proceso de telefonía se cae y vuelve a arrancar.
El investigador Mark B publicó la disección completa el 29 de octubre de 2026, tras reportar el fallo el 5 de mayo al programa de recompensas de Android y Dispositivos de Google. CyberPress recogió la divulgación este 30 de octubre con los datos de prueba: un Pixel 9 con el programa interno de abril de 2026 y varios Samsung Galaxy reprodujeron la caída en cada intento. La prueba de concepto ya circula en GitHub, con advertencia de uso solo en equipos propios o con permiso expreso.
Un número negativo tumba el proceso de telefonía
WapPushOverSms.decodeWapPdu() lee el largo del encabezado WSP (Wireless Session Protocol, el protocolo de sesión inalámbrica de esos mensajes) como un valor largo y lo convierte a entero sin revisar el rango. Cinco bytes armados como 88 80 80 80 00 producen 0x80000000. Convertido a entero con signo, ese valor pasa a ser -2.147.483.648, y el código intenta crear un arreglo de bytes con ese tamaño.
Ese intento dispara NegativeArraySizeException, una excepción que nadie atrapa en el hilo principal de telefonía. El proceso com.android.phone muere ahí mismo. Cada caída deja el equipo sin servicio entre uno y dos segundos y corta la llamada en curso.
Nada de esto pide un toque en pantalla. El mensaje llega como SMS de datos, en silencio: no aparece en la aplicación de mensajes, no muestra el número de quien lo envía y no deja una notificación para borrar. Conocer el número de la víctima basta para mandarlo, y el teléfono hace el resto solo, en el momento en que la red lo entrega.
La reentrega de la operadora alarga el daño
Un solo mensaje bastaría para asustar, pero el mecanismo de entrega lo empeora. Cuando el equipo no confirma la recepción, la operadora vuelve a entregar el mismo mensaje, y cada reentrega repite la caída. En las pruebas del investigador, un único mensaje provocó cortes intermitentes durante una semana completa, sin que el dueño del teléfono tocara nada ni viera pista alguna en su bandeja.
Con cerca de 20 mensajes, el equipo queda inutilizable por un rato largo. El mensaje mal formado queda guardado en la cola de entrada pendiente y se reintenta en cada arranque, así que el teléfono puede caer justo al encender. Un colaborador del proyecto documentó en Android 12 un ciclo durísimo: RescueParty, la función de rescate del sistema, reiniciaba el equipo hacia la pantalla de recuperación cada 90 segundos, con el borrado total asomando como salida para quien no conoce otra vía.
Salir de ese ciclo sin borrar el teléfono exige una computadora y ADB (Android Debug Bridge, la herramienta de depuración de Android): borrar de la cola solo las filas del mensaje venenoso, en la ventana breve tras completar el arranque, rompe el bucle y conserva el resto de los mensajes. Es una salida real, pero queda lejos de una persona común atrapada en un reinicio cada minuto y medio.
El parche de octubre de 2026 y los equipos que quedan fuera
Google movió su arreglo el 15 de junio de 2026, con un cambio titulado «Fix remote DoS in decodeWapPdu». La corrección amplía la excepción atrapada a RuntimeException para que el error no mate el proceso, y borra el mensaje que falló, cortando la reentrega y el ciclo de arranque. Ese cambio entró en la actualización de seguridad de octubre de 2026 para Android 14 a Android 17.
La reproducción del fallo cubre de Android 12 a Android 16, y el código con el defecto viajó en versiones de Android 12 a Android 17. El hueco está en los equipos con Android 12 y Android 13: ejecutan el mismo código, el investigador reprodujo la caída en Android 12, y la corrección de octubre no llega a esas versiones porque quedaron fuera de la ventana de actualizaciones de seguridad. Para ellos no hay parche anunciado.
Quien tenga Android 14 o una versión posterior protege su equipo instalando la actualización de seguridad de octubre de 2026 o una más reciente, y revisando el nivel de parche en los ajustes antes de dar el tema por cerrado. Activar la protección avanzada en Android suma barreras útiles frente a otros ataques, pero frente a SMS of Death manda el nivel de parche: con el arreglo de octubre instalado, el mensaje mal formado se descarta y se borra; sin ese arreglo, el teléfono lo procesa con el código vulnerable y cae igual, tenga las demás protecciones que tenga.
El dato que queda colgando es el alcance real fuera del laboratorio. Nadie ha reportado ataques contra usuarios comunes con esta técnica. La exposición se mide en millones de teléfonos con Android 12 y Android 13 que seguirán sin corrección, con un mensaje invisible capaz de cortarles una llamada de emergencia: ese inventario, y no el nombre teatral del fallo, es lo que un dueño de Android viejo debería revisar hoy en su nivel de parche.
Fuente: CyberPress
