Un SMS malicioso bloquea móviles Android y corta las llamadas

Un mensaje de texto aparentemente inofensivo basta para dejar un móvil Android sin cobertura y atrapado en un bucle de reinicios. Así funciona la vulnerabilidad registrada como CVE-2026-58882, de la que informa Omicrono y que afecta a un abanico enorme de dispositivos: desde Android 12 hasta Android 17.

Lo que hace especialmente delicado este fallo es que no requiere ninguna acción por parte de la víctima. No hay que abrir una aplicación, ni pinchar en un enlace, ni descargar un adjunto. Basta con que el mensaje llegue al terminal para que el sistema lo procese en segundo plano.

Qué es un mensaje WAP Push

El origen del problema está en los llamados mensajes WAP Push, una variante de SMS o MMS pensada en su día para enviar enlaces e instrucciones que el teléfono ejecuta automáticamente sin pasar por el usuario. Se usaban, por ejemplo, para que el móvil abriera por su cuenta un recurso en la red o recibiera una configuración del operador.

Es una tecnología veterana, heredada de la era anterior a los smartphones modernos, pero sigue presente en las aplicaciones de mensajería básicas del ecosistema Android. Y ahí está el riesgo: un componente antiguo que casi nadie usa ya, pero que el sistema continúa atendiendo de forma silenciosa.

El investigador de seguridad Mark Blah descubrió que es posible construir un mensaje de este tipo con un contenido manipulado. Cuando llega al dispositivo, se procesa de manera automática nada más aterrizar en la bandeja de entrada, sin que el propietario del teléfono llegue a enterarse de que ha recibido nada.

El efecto: teléfono incomunicado

El resultado es un fallo crítico de denegación de servicio, es decir, el bloqueo de una función legítima del aparato. En este caso, la que se cae es la conectividad móvil. El terminal pierde la cobertura de red, lo que interrumpe de golpe cualquier llamada en curso e impide marcar un número nuevo.

Ese detalle es más grave de lo que parece: un móvil que no puede llamar tampoco puede contactar con los servicios de emergencia. A eso se suma que el fallo desestabiliza el funcionamiento interno del sistema y mete al teléfono en un bucle de reinicio continuo que impide acceder a cualquier aplicación.

Para documentar el hallazgo y presionar a la industria, el propio Blah ha publicado una prueba de concepto para Android y ha subido el código fuente completo a GitHub. Es una práctica habitual en el sector una vez el fabricante ha tenido margen para corregir el problema, aunque también eleva el riesgo para quien no haya actualizado.

Google ya ha publicado el parche

La buena noticia es que la corrección existe. Google distribuyó el arreglo dentro del boletín de seguridad de Android de octubre de 2026, así que la protección pasa por algo tan simple como entrar en los ajustes del teléfono, buscar la sección de actualización del sistema o de seguridad e instalar el parche más reciente disponible.

El problema de fondo, como siempre en Android, es el desigual ritmo con el que los fabricantes trasladan esos parches a sus propias capas de personalización. Un mismo boletín puede llegar en días a unos modelos y tardar meses en otros, o no llegar nunca a los terminales que ya han salido del periodo de soporte. Si tu móvil es antiguo y hace tiempo que no recibe actualizaciones, conviene comprobarlo.

El SMS sigue siendo un vector de ataque

Este caso recuerda que la mensajería tradicional continúa siendo una puerta de entrada atractiva para los atacantes, incluso cuando la mayoría de conversaciones se han trasladado a aplicaciones de internet. Las operadoras llevan tiempo reforzando sus filtros: Movistar bloquea más de un millón de llamadas fraudulentas al día y ha extendido su sistema a los SMS fraudulentos.

La diferencia es que aquí no hablamos de un engaño para que piques, sino de un fallo técnico que se aprovecha de cómo el sistema trata ciertos mensajes antes de mostrártelos. Frente a eso, el usuario poco puede hacer más allá de mantener el dispositivo al día.