Un mensaje de texto malicioso es el desencadenante de una nueva amenaza para Android que lleva al móvil afectado a un bucle de reinicio sin fin y a interrumpir la cobertura de red sin que el usuario haga nada.
Un mensaje WAP Push es un tipo de mensaje de texto (SMS o MMS) que incluye un enlace e instrucciones para que el dispositivo móvil lo procese en segundo plano, por ejemplo, para abrir un determinado archivo en una página web.
Aunque se trata de una tecnología considerada obsoleta, sigue presente en las aplicaciones de mensajería más básicas, y ahora, una nueva amenaza abusa de este sistema para explotar una vulnerabilidad en Android (versiones 12 a 17) que ha sido bautizada como 'SMS de la muerte'.
Esta vulnerabilidad, recogida como CVE-2026-58882, utiliza un SMS manipulado para, de forma remota, desencadenar un fallo de denegación de servicio que permite bloquear los teléfonos afectados o interrumpir la conectividad móvil.
El investigador de ciberseguridad Mark Blah destaca en su investigación que lo característico de esta amenaza es que no requiere la intervención del usuario, es decir, que no tiene que abrir ninguna aplicación, pinchar en ningún enlace ni descargar ningún archivo para que se ejecute.
Ocurre por el propio funcionamiento del mensaje WAP Push, que el sistema procesa en segundo plano y de manera automática nada más llegar a la bandeja de entrada, en muchas ocasiones sin que el usuario se haya dado cuenta de que ha recibido un mensaje nuevo.
En cuando se procesa, interrumpe la cobertura de red, lo que corta las llamadas que están en curso e impide hacer otras nuevas, incluidas las que se dirigen a servicios de emergencias. Además, mantiene el dispositivo en una especie de bucle de reinicio.
El investigador ha publicado una prueba de concepto para Android y el código fuente completo en GitHub. Por su parte, Google distribuyó una corrección para esta vulnerabilidad con la actualización de seguridad de Android de octubre de 2026.
