• Google ha corregido una vulnerabilidad crítica en el sistema operativo Android que permitía a atacantes bloquear el dispositivo del usuario mediante el envío de un SMS invisible.
• Este problema de seguridad no solo podía dejar el móvil inutilizable, sino que también era capaz de interrumpir las llamadas y forzar el reinicio del equipo. Afortunadamente, Google ya ha diseñado y desplegado la actualización necesaria para solucionar este fallo hace varios meses.

Google se encuentra en el foco de una nueva controversia de seguridad tras la divulgación de SMS of Death, una vulnerabilidad crítica de Android que era capaz de provocar fallos en el sistema de llamadas mediante el envío de mensajes SMS especialmente diseñados. Lo llamativo del caso es que la compañía ya había desarrollado y distribuido una solución meses antes de que el problema se hiciera público, por lo que los dispositivos que han recibido las actualizaciones correspondientes no deberían estar expuestos al fallo.

La vulnerabilidad fue identificada por el investigador de seguridad Mark Blaszczyk, que demostró cómo un atacante podía enviar un SMS malformado capaz de desencadenar errores en el sistema encargado de gestionar las llamadas telefónicas. A diferencia de otros ataques similares, el mensaje ni siquiera aparecía en la bandeja de entrada de la víctima, lo que hacía prácticamente imposible detectar que algo estaba ocurriendo.

Un fallo que podía afectar incluso a las llamadas de emergencia

Según la investigación, el mensaje malicioso provocaba el cierre inmediato del servicio responsable de las llamadas. Esto podía interrumpir conversaciones en curso e incluso afectar a comunicaciones de emergencia.

El problema no terminaba ahí. Android seguía intentando procesar el mismo mensaje, lo que podía desencadenar nuevos fallos de forma repetida. En determinados escenarios, una acumulación de estos SMS podía convertir el teléfono en un dispositivo prácticamente inutilizable e incluso provocar bucles de reinicio.

El investigador logró reproducir el comportamiento en dispositivos Google Pixel y Samsung Galaxy. Además, el código vulnerable llevaba presente desde Android 12, por lo que el alcance potencial era considerable.

Google ya había preparado una solución meses antes

La polémica aumentó cuando se conoció que el investigador comunicó el problema a Google el 5 de mayo y asegura que la compañía lo trató inicialmente como un asunto sin relevancia para la seguridad. Sin embargo, los propios registros del proyecto Android muestran que la empresa desarrolló una corrección el 15 de junio.

La solución modifica el comportamiento del sistema para evitar que el mensaje malicioso provoque cierres repetidos. En lugar de bloquear constantemente el dispositivo, Android gestiona el error y elimina el SMS problemático antes de que pueda causar daños adicionales.

La vulnerabilidad está registrada como CVE-2026-58882 y cuenta con una clasificación de gravedad crítica. Aunque existen dudas sobre la velocidad con la que cada fabricante distribuye las actualizaciones a sus dispositivos, la información disponible apunta a que Google ya incorporó la corrección en los parches de seguridad destinados a Android 14, Android 15, Android 16 y Android 17.