✨︎ Resumen (TL;DR):
- Un mensaje especialmente preparado puede detener el proceso telefónico de un dispositivo Android y cortar incluso una llamada de emergencia sin que la persona lo abra.
- La vulnerabilidad CVE-2026-58882 se reprodujo en Android 12 a 16; Mark B afirma que las actualizaciones de seguridad de octubre de 2026 para Android 14 a 17 incluyeron la corrección.
- La protección depende del modelo, el fabricante y, en algunos casos, el operador. Revisa la fecha del parche y confirma si la compilación incluye el arreglo.
Google incorporó al código de Android una corrección para una falla que permite que un mensaje especialmente preparado interrumpa el servicio telefónico de algunos dispositivos sin que la persona lo abra y corte una llamada, incluso de emergencia. La vulnerabilidad, identificada como CVE-2026-58882, no llega automáticamente a todos los teléfonos: su distribución depende del fabricante y, en algunos casos, del operador.
El investigador de seguridad identificado como Mark B divulgó el problema el 29 de octubre y lo llamó “SMS of Death”. SMS of Death es una falla de denegación de servicio: el teléfono procesa el mensaje y el proceso encargado de las llamadas puede detenerse. La investigación no demuestra que el fallo permita leer archivos ni controlar el dispositivo.
El equipo de respuesta a incidentes de Tailandia, ThaiCERT, indicó el 2 de noviembre que existía una prueba de concepto pública, pero no había evidencia confirmada de que alguien hubiera usado la vulnerabilidad en ataques reales.
El mensaje puede llegar antes que la bandeja
WAP Push es un formato de mensajes que Android puede procesar antes de que llegue a la bandeja de entrada. En un dispositivo vulnerable, un error al interpretar sus datos hace que falle el proceso que gestiona la conexión telefónica, de acuerdo con ThaiCERT.
La interrupción puede repetirse si el teléfono vuelve a procesar el mensaje o si la red intenta entregarlo otra vez. Mark B reportó que, en ciertas pruebas, varios mensajes provocaron fallos persistentes y reinicios.
ThaiCERT indicó que sus pruebas reprodujeron el problema en Android 12 a 16. Android Authority señaló que entre los equipos probados había dispositivos Pixel y Samsung Galaxy.
El parche existe, pero no llega igual
El registro de código de Android muestra una corrección destinada a evitar estos fallos repetidos: maneja el error y elimina el mensaje problemático.
Mark B afirma que las actualizaciones de seguridad de octubre de 2026 para Android 14, 15, 16 y 17 incluyeron la corrección. Según el investigador, Android 12 y 13 no recibieron ese arreglo en el ciclo general de octubre. Eso no permite descartar que un fabricante ofrezca una solución específica para alguno de sus modelos.
ThaiCERT y Android Authority identifican la vulnerabilidad como CVE-2026-58882. El código no aparece en el boletín público de Android de octubre, por lo que consultar ese documento por sí solo no confirma qué modelos recibieron la corrección.
Android Authority también recoge que GrapheneOS esperaba su inclusión en el boletín de noviembre. Por eso, la versión principal de Android no basta para saber si un celular está protegido: también hay que revisar la compilación que instaló cada fabricante u operador.
Cómo revisar si tu teléfono recibió la corrección
Google recomienda estos pasos:
- Consulta la versión: abre Ajustes, entra en Información del teléfono y después en Versión de Android. Ahí puedes revisar la versión instalada y la fecha de la actualización de seguridad.
- Busca actualizaciones: ve a Sistema y luego a Actualizaciones de software. Los nombres de los menús pueden cambiar según el fabricante.
- Confirma la compilación: instala la actualización de seguridad más reciente disponible. Una fecha de octubre de 2026 o posterior sirve como referencia, pero confirma con el fabricante o el operador si tu compilación concreta incluye la corrección, porque el código no aparece en el boletín público de octubre.
- Si hay reinicios: pide orientación al fabricante o al operador sobre las opciones de recuperación antes de tomar medidas que borren información.
ThaiCERT indicó que no había evidencia confirmada de ataques reales. Aun así, un equipo sin la corrección puede perder el servicio telefónico y cortar una llamada de emergencia sin que la persona abra el mensaje. La verificación útil no termina en mirar la versión de Android: hay que confirmar con el fabricante o el operador que la compilación concreta incluya el arreglo.
