«SMS of Death»: un mensaje invisible tumba la señal de celulares Android y 20 los dejan reiniciándose; Android 12 y 13 no tienen parche

Un investigador publicó esta semana el código de prueba de una falla de Android a la que ya le dicen «SMS of Death»: un mensaje de texto de apenas 8 bytes, que el usuario nunca ve, hace que el celular pierda la señal y corte cualquier llamada en curso, incluidas las de emergencia. Con unos 20 mensajes el equipo entra en un bucle de reinicios. BleepingComputer lo reportó el sábado 31 de octubre de 2026 y lo identifica como CVE-2026-58882.

La corrección existe, pero solo para quien instaló el parche de seguridad de octubre de 2026 en Android 14 a 17. Los equipos que se quedaron en Android 12 y 13 no la recibieron. Con el código de prueba ya publicado, la barrera para intentarlo baja mucho, y eso cambia la urgencia para las empresas que tienen celulares o terminales Android en manos de vendedores, repartidores o técnicos.

Fuentes: BleepingComputer (31 oct 2026), boletín de seguridad de Android de octubre de 2026 (source.android.com) y análisis de braindetox.kr (30 oct 2026).

Cómo funciona, sin tecnicismos

Los mensajes WAP Push son un tipo de SMS pensado para que el operador o un servicio envíe contenido o ajustes al teléfono. Android los procesa en automático, sin mostrarlos en la bandeja. El problema está en la función que interpreta su encabezado: un valor de longitud manipulado se convierte en un número negativo, el sistema intenta reservar memoria con ese número y el proceso del teléfono se cae.

Lo grave no es un solo corte, sino que se repite. Según el investigador, el mensaje se queda guardado en la cola de mensajes pendientes; cuando el teléfono se recupera o el operador intenta entregarlo otra vez, vuelve a procesarlo y vuelve a caerse. En sus pruebas, 20 mensajes bastaron para meter equipos en un ciclo de reinicios, y en un celular con Android 12 el reinicio llegaba a modo recuperación cada 90 segundos, al grado de necesitar un restablecimiento de fábrica.

Por qué le importa a una PyME

En muchas empresas el celular es la herramienta de trabajo: el vendedor levanta pedidos, el repartidor confirma entregas, el técnico recibe órdenes de servicio. Un equipo que pierde la señal o se reinicia cada minuto y medio deja a esa persona sin poder trabajar, y sin poder pedir ayuda si hay una emergencia en ruta.

Además, en las flotas de empresa es común encontrar equipos que se quedaron atrás:

• Celulares de gama baja comprados en lote, que el fabricante dejó de actualizar pronto. Ya advertimos que en ese segmento hay incluso equipos Android baratos que traen malware de fábrica.
• Terminales portátiles y lectores de almacén con chip celular, que a veces se quedan en versiones viejas porque nadie quiere tocar la aplicación de inventario que funciona.
• El celular "heredado" del empleado que se fue, que pasó a otra persona sin revisar si sigue recibiendo actualizaciones.

Si cualquiera de esos equipos tiene línea activa y está en Android 12 o 13, hoy no hay parche que instalar.

Qué hacer esta semana

1. Revisa el nivel de parche de cada equipo. En Ajustes > Acerca del teléfono > Versión de Android aparece la fecha de la actualización de seguridad. Necesitas 1 de octubre de 2026 (2026-10-01) o posterior. Si administras los equipos con una consola de gestión de dispositivos, filtra los que estén por debajo de esa fecha.
2. Actualiza y reinicia. Si el equipo ofrece la actualización, instálala conectado a wifi y con batería suficiente, y reinicia: según BleepingComputer, puede hacer falta para completar la instalación.
3. Separa los equipos en Android 12 y 13. Pregunta al fabricante o al operador si habrá corrección. Si no la hay, ponlos en la lista de reemplazo y, mientras tanto, que no sean el único medio de contacto de quien trabaja en campo o en turnos nocturnos.
4. Ten un plan para el equipo que quede en bucle. No elijas "borrar datos" en la pantalla de recuperación como primer paso: un colaborador del proyecto en GitHub publicó cómo eliminar los mensajes maliciosos con ADB desde una computadora. Requiere conocimientos técnicos, así que conviene que lo haga tu área de sistemas o tu proveedor. Si al final hay que restablecer, que el equipo tenga respaldo.
5. Capacita al equipo para reconocer el síntoma. "Se queda sin señal y se reinicia solo" debe reportarse a sistemas, no resolverse comprando otro chip.

Lo que todavía no se sabe

• Si los operadores en México filtran estos mensajes. Las fuentes consultadas no mencionan a ningún operador mexicano. No asumas que la red te protege.
• Qué fabricantes ya entregaron la corrección. Google la incluyó en el boletín de octubre, pero que llegue a cada modelo depende del fabricante y, en muchos casos, del operador.

Según el análisis de braindetox.kr, la falla se reportó a Google el 5 de mayo de 2026 y la corrección se integró al código de Android el 5 de agosto; el boletín que la distribuyó salió el 5 de octubre. Es decir: un equipo con Android 14 o posterior que se actualiza cada mes probablemente ya estaba protegido antes de que el código se hiciera público. Quien no, va tarde.

Contexto

No es el único aviso de celulares de estas semanas. Apple llevó a iPhone XS y XR el parche de un día cero, y Microsoft 365 deja de mandar códigos de acceso por SMS, otra razón para no depender de los mensajes de texto como canal crítico. Si tu empresa no tiene un inventario de celulares con su versión de Android y su línea, el registro de líneas celulares de la empresa es un buen punto de partida, y el kit de ciberseguridad básico te ayuda a convertir la revisión de equipos en rutina.