El SMS de la muerte destapa el verdadero fallo de Android: los parches lentos

¿Es de verdad un error el escándalo cuando la solución existe desde hace semanas y aún no ha llegado a muchos bolsillos? El «SMS de la muerte» es un bicho desagradable, pero la historia más incómoda es cuánto tardan los usuarios de Android en recibir el remedio.

Un mensaje invisible puede dejar tu móvil sin red

El investigador de seguridad Mark Blaszczyk ha publicado los detalles de un fallo, junto con una prueba de concepto, que permite que un mensaje WAP Push manipulado bloquee la parte de Android que gestiona el servicio móvil. Según Heise a través de Chip, el mensaje es invisible: nunca llega a la bandeja de entrada. Un móvil afectado puede reiniciarse más o menos cada 90 segundos y ofrecer borrar los datos en el modo de recuperación.

Blogspan cuenta que el investigador avisó a Google el 5 de mayo y que la corrección cubre de Android 14 a 17 desde la actualización de octubre. Al parecer, Android 12 y 13 se quedan sin nada. Además, las llamadas de emergencia pueden cortarse. Ese último detalle es lo que convierte una molestia en un problema de seguridad.

El error es corriente; la cadena de entrega es el fallo

La causa técnica es casi trivial: un campo de longitud que se convierte sin validar pasa a ser negativo y el código no detecta el error resultante. Todo código grande tiene fallos así, nos atreveríamos a decir. Lo que importa es el tiempo que pasa entre «corregido» e «instalado».

Como señala la prensa alemana, si no tienes un Pixel, tu fabricante puede tardar semanas o incluso meses en distribuir los parches de Google. Esa es la debilidad estructural. Google puede escribir la solución, pero no puede pulsar el botón en tu Galaxy, tu Xiaomi o lo que lleves en el bolsillo. Mientras tanto, el código del exploit es público. En nuestra opinión, esa combinación es lo que merece la alarma: una receta publicada, un código base ya parcheado y una larga cola de móviles en tierra de nadie.

También conviene mantener la amenaza en su justa medida. Se trata de un bloqueo remoto, no de un robo de datos, y nada de lo que hemos leído sugiere una explotación masiva. Pero un móvil que pierde las llamadas, el acceso a emergencias y quizá tus datos (si entras en pánico y pulsas «Borrar datos») no es precisamente inofensivo. Provocar un colapso también es un arma, y parece barato de apuntar.

Los móviles antiguos, los grandes perdedores silenciosos

La frase más dura es la que se refiere a Android 12 y 13. Esos dispositivos probablemente seguirán siendo vulnerables a menos que los fabricantes escriban sus propios parches. Blogspan apunta una consecuencia directa para los móviles de empresa con esas versiones: es un motivo para sustituirlos. Nosotros iríamos más allá. Si un mensaje de texto puede inutilizar un móvil y el fabricante no lo arregla, ese aparato ha dejado de ser un teléfono fiable.

Hay además un problema de verificación. Blogspan señala que el número CVE citado por BleepingComputer no aparecía el 1 de noviembre en los registros de MITRE ni de NVD que consultó, y que el boletín de octubre de Google no menciona el fallo. La indicación de «octubre de 2026 o posterior» procede únicamente del investigador. Eso no la hace errónea, pero implica que los usuarios tienen que fiarse mucho, lo que es en sí mismo un fallo de transparencia.

Comprueba hoy la fecha de tu parche y, luego, los hábitos de tu fabricante

Consulta la fecha de tu parche de seguridad: Ajustes, Acerca del teléfono, versión de Android (los menús varían según la marca). Si indica octubre de 2026 o posterior, estás protegido según el investigador. Si no, instala cualquier actualización pendiente y reinicia. No esperes a la notificación automática.

Si tu móvil ya está en bucle, no pulses «Borrar datos». El investigador describe una vía de recuperación mediante un ordenador y Android Debug Bridge, pero es un remedio provisional para usuarios con conocimientos técnicos, no un sustituto de la actualización.

Nuestro veredicto: hay que dejar de tratar la rapidez de las actualizaciones como una nota al pie en las fichas técnicas. Cuando compres tu próximo Android, pregunta con qué rapidez lanza el fabricante los parches de Google y durante cuántos años. Mientras no se exija esa responsabilidad a los fabricantes, el próximo «SMS de la muerte» probablemente se encontrará con la misma larga cola de móviles sin parchear.