El ‘SMS of Death’ devuelve a Android al peor escenario: un mensaje invisible que tumba las llamadas y bloquea el 112.
No hace falta que usted abra nada. Un WAP Push manipulado —un SMS binario que el sistema procesa por su cuenta— enviado al puerto 2948 basta para tumbar el proceso com.android.phone. El investigador independiente Mark Blaszczyk ha publicado la demostración completa: no es un fallo exótico, es una denegación de servicio persistente sobre la función más básica de un teléfono.
Le adelanto el dato que convierte esto en material de este vertical. El ataque no roba información y no necesita ejecutar una sola línea de código. Ataca disponibilidad. Y en un teléfono, disponibilidad significa una sola cosa: poder llamar al 112.
Anatomía del ‘SMS of Death’: cinco bytes y un entero con signo
El componente vulnerable se llama WapPushOverSms y vive en la ruta frameworks/opt/telephony. Interpreta los mensajes WAP Push: notificaciones del operador, configuraciones de servicio, enlaces empaquetados en binario y procesados sin intervención del usuario. La función decodeWapPdu() lee la longitud de la cabecera WSP como un valor uintvar, devuelto en primera instancia como número de 64 bits, y lo convierte después a entero de 32 bits sin comprobar el rango.
Ahí está todo el agujero. Un valor aparentemente válido se transforma en negativo y ese negativo se usa para dimensionar un array en memoria. Android intenta reservar un tamaño imposible, lanza una NegativeArraySizeException que nadie captura en la ruta de telefonía y el hilo principal del servicio muere. La secuencia documentada cabe en cinco bytes: 88 80 80 80 00 decodifica a 0x80000000; casteado a entero con signo, -2147483648.
Un fallo de cinco bytes no roba datos ni ejecuta código. Solo deja su teléfono sin poder marcar el 112 cuando más lo necesita.
El WAP Push viaja como SMS de datos por el puerto 2948. No aparece en la bandeja de entrada, no genera una notificación reconocible y, en la mayoría de los terminales ni siquiera deja ver el número del remitente. El sistema lo recibe y lo procesa. Es la definición operativa de un ataque zero-click.
Cada procesamiento provoca una caída de uno o dos segundos, el tiempo que tarda el componente en reiniciarse. El problema real llega con la repetición: el mensaje puede quedarse en la cola de SMS entrantes y volver a procesarse en cada reintento de entrega del operador. El investigador describe caídas intermitentes durante una semana tras un solo envío. Una veintena de mensajes deja el dispositivo inservible, y en los casos graves el proceso de telefonía se cae incluso durante el arranque, con un comportamiento idéntico a un bucle de reinicio.
La recuperación exige un ordenador, el Android Debug Bridge y la pericia suficiente para intervenir la cola de mensajes.
El alcance declarado abarca de Android 12 a Android 17, con reproducción confirmada en un Google Pixel 9 y en terminales Galaxy y Galaxy A de Samsung. Google corrigió el marco en el parche de octubre de 2026 para Android 14, 15, 16 y 17. Los equipos con Android 12 y 13 siguen expuestos si su fabricante no publica actualización. El identificador es CVE-2026-58882, severidad crítica en el boletín de noviembre de 2026.
El puerto 2948, un viejo conocido del oficio
El WAP Push nació como herramienta de operador: configuración remota de APN, avisos de buzón de voz, enlaces de servicio. Es una canalera de gestión que el sistema atiende sin preguntar. Y eso tiene una consecuencia que en contrainteligencia se repite hasta la saciedad. Todo canal que el operador usa en silencio es un canal abierto a cualquiera.
Ya lo vimos con Stagefright en 2015, cuando un MMS con un vídeo manipulado ejecutaba código en el motor multimedia sin que la víctima abriera nada. La lección de entonces no fue técnica, fue doctrinal: el mensaje de texto dejó de ser un canal pasivo. Once años después, el sector tropieza con la misma piedra, solo que el objetivo ya no es el control del dispositivo, sino su silencio.
Permítame una distinción que en este oficio importa. Un ataque de exfiltración busca información; un ataque de disponibilidad busca tiempo. Y el tiempo, en una emergencia, es la única moneda que cotiza. NotPetya demostró en 2017 que la destrucción pura puede ser un fin en sí mismo. El ‘SMS of Death’ es la versión de bolsillo de esa lógica: no quiere sus fotos, quiere que usted no pueda pedir ayuda.
No hay atribución estatal en la documentación publicada y conviene decirlo con claridad. Tampoco hay indicios de campaña activa contra objetivos concretos. Lo que hay es un vector reproducible y barato: cualquier actor capaz de enviar un SMS binario a un número puede activarlo. La barrera técnica de entrada es prácticamente nula.
Dossier Moncloa: Ojos en la Sombra
El vector es un ciberataque de denegación de servicio sobre telefonía móvil, sin ejecución de código ni robo de datos, con efecto físico directo: interrupción de llamadas en curso, incluida la llamada al 112. No estamos ante un APT, sino ante un sabotaje de disponibilidad de bajo coste. La agencia atacante todavía no existe: no hay atribución estatal, ni agente identificado, ni motivación declarada. La defensora es Google a través del boletín de Android y, por extensión, cada fabricante que decide si traslada el parche a su parque. Los terceros que miran son los servicios interesados en la resiliencia de las comunicaciones de emergencia de un país aliado.
Estimo el nivel de clasificación del material en ‘sin clasificar pero sensible’. El CVE es público y la demostración técnica también. Lo que no es público es el inventario de dispositivos sin parchear dentro de organismos críticos, y ahí es donde este fallo deja de ser una curiosidad de investigador.
El precedente que me parece relevante no es Stagefright, sino Shamoon. En 2012 y de nuevo en 2016, aquel malware no buscaba botín: buscaba dejar terminales inservibles. La disponibilidad es un objetivo estratégico por derecho propio, y su eficacia depende de la masa de objetivos desprotegidos, no de la sofisticación del exploit.
Mi posición es que el riesgo no está en el fallo, sino en la distribución del parche. Google ha corregido el marco en cuatro versiones del sistema. Lo que no controla es cuántos fabricantes van a compilar esa corrección para terminales de gama media vendidos hace tres años. La brecha entre parche publicado y parche instalado es el verdadero vector de cualquier operación de ciberespionaje.
España, el 112 y un parque móvil que no se actualiza solo
En España, alrededor de ocho de cada diez teléfonos funcionan con Android. El CCN-CERT mantiene vigilancia sobre vulnerabilidades de criticidad alta en plataformas móviles, y este CVE entra de lleno en su radio de acción: afecta a un servicio de emergencia y no requiere interacción. Poco más hace falta para elevar una alerta interna.
Hay un detalle que no se suele mirar. Los terminales de los servicios de emergencia, de las policías locales, de los voluntarios de protección civil y de los operadores de infraestructura crítica no son equipos de gama alta recién comprados. Son móviles corporativos con tres y cuatro años de servicio, muchos fuera del ciclo de soporte del fabricante. Un parque sin parchear es una vulnerabilidad de escala nacional. Y no se arregla con un comunicado.
Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. Reconozco que me quedé corto.
Queda un hito en el calendario. El boletín de seguridad de Android de noviembre de 2026 recoge el CVE-2026-58882 con severidad crítica; a partir de ahí, la pelota está en el tejado de cada fabricante y de cada departamento de sistemas. Si usted gestiona parque móvil, la pregunta no es si sus terminales están afectados. La pregunta es cuántos no han visto un parche en el último año.
