Un SMS malicioso puede bloquear móviles Android y cortar la red sin intervención del usuario
Una vulnerabilidad de Android (CVE-2026-58882) permite bloquear móviles con un SMS WAP Push. Google ha publicado una corrección en la actualización de octubre de 2026.
Un mensaje de texto malicioso puede bloquear teléfonos Android y dejarlos sin cobertura de red sin que el usuario haga nada. La amenaza, bautizada como «SMS de la muerte», afecta a las versiones 12 a 17 del sistema y está recogida con la referencia CVE-2026-58882.
El mecanismo empleado es un mensaje WAP Push, un tipo de SMS o MMS que incluye un enlace e instrucciones para que el dispositivo lo procese en segundo plano. Según la agencia Portaltic/EP, se trata de una tecnología considerada obsoleta, pero que sigue presente en las aplicaciones de mensajería más básicas.
La vulnerabilidad permite, de forma remota, provocar un fallo de denegación de servicio. El investigador de ciberseguridad Mark Blah destaca que la amenaza no requiere la intervención del usuario: no es necesario abrir aplicaciones, pulsar enlaces ni descargar archivos. El sistema procesa el mensaje de forma automática al llegar a la bandeja de entrada, en muchas ocasiones sin que el usuario se dé cuenta de que ha recibido un mensaje nuevo.
Una vez procesado, el mensaje interrumpe la cobertura de red. Esto corta las llamadas en curso e impide realizar otras nuevas, incluidas las dirigidas a servicios de emergencias. Además, mantiene el dispositivo en un bucle de reinicio.
Blah ha publicado una prueba de concepto y el código fuente completo en GitHub. Google, por su parte, distribuyó una corrección con la actualización de seguridad de Android de octubre de 2026.