Un SMS no debería poder bloquear tu Android, y el parche tarda demasiado

¿Cómo es aceptable que un mensaje que nunca ves, en una bandeja que nunca abres, pueda dejar sin servicios de red a tu móvil, llamadas de emergencia incluidas? Esa es la incómoda pregunta que plantea el «SMS de la muerte», y merece una respuesta mejor que «actualiza cuando puedas».

Según informaciones de dpa recogidas por medios alemanes, el investigador de seguridad Mark Blaszczyk ha publicado un fallo que permite que un SMS WAP Push oculto mande a los móviles con Android 12 a 17 a un bucle de reinicios, más o menos cada minuto y medio. La pantalla de recuperación te invita entonces a borrar tus datos, algo que no deberías hacer. Al parecer, es posible recuperar el dispositivo desde un PC con la herramienta Android Debug Bridge.

Según Udaipur Kiran, el fallo está registrado como CVE-2026-58882 y reside en cómo el framework de telefonía de Android comprueba la longitud de los datos. Se comunicó a Google el 5 de mayo de 2026, se corrigió en el código abierto el 15 de junio y se hizo público el 29 de octubre. El mismo informe asegura que el ataque puede interrumpir las llamadas y los servicios de la red móvil, incluidas las llamadas de emergencia.

El fallo es viejo; el escándalo es la demora

WAP Push es un mecanismo heredado que permite a las operadoras enviar a los móviles instrucciones de configuración ocultas. Nuestra opinión: una función pensada para otra época no debería poder tumbar el proceso que gestiona las llamadas y la red móvil, y es lícito preguntarse por qué todavía puede. Es un fallo de ingeniería, pero conocido. Los analizadores complejos fallan.

Lo que no es inevitable es el calendario. La actualización de seguridad de Google para Android 14 a 17 existe desde, al menos, principios de octubre, pero fuera de los Pixel los fabricantes pueden tardar semanas o meses en distribuirla. Los móviles con Android 12 y 13 seguirán, con toda probabilidad, siendo vulnerables a menos que sus fabricantes escriban sus propios parches. Pasaron más de cuatro meses entre la corrección del código y la divulgación pública, y mucha gente sigue sin poder instalar nada.

Juzga a Google y a los fabricantes por días, no por promesas de actualización

Giga informa de que el 56,4 % de los dispositivos Android activos ya funciona con Android 14 o posterior, en parte gracias a Project Treble y Project Mainline y a promesas de actualizaciones de hasta siete años. Es un avance real y, en nuestra opinión, la parte más infravalorada de la historia. Pero también significa que más del 40 % de los dispositivos usa versiones anteriores, y que Google dejó de dar soporte a Android 13 en marzo de 2026.

Por eso defendemos que cambie la vara de medir. Los años de promesa de actualizaciones son marketing. La cifra que importa son los días que pasan desde el parche de Google hasta tu pantalla de bloqueo. Samsung, Xiaomi, OnePlus y Motorola, todas citadas como marcas en las que los usuarios deben comprobar los parches por su cuenta, deberían publicar ese dato. Y Google, que controla la plataforma y vende la experiencia Pixel de referencia, debería decir claramente qué parte de la demora le parece aceptable.

Hay también una lección de diseño. Un fallo en el proceso que gestiona las llamadas y la red móvil no debería poder provocarse con un mensaje que el usuario ni siquiera ve. Como mínimo, un WAP Push mal formado debería descartarse sin tumbar la telefonía. Eso es justo lo que, según se informa, busca la corrección de Google, y creemos que debería haber sido el comportamiento por defecto desde el principio.

Hasta que llegue el parche, comprueba a mano y protege tus datos

Abre Ajustes, busca Sistema o Actualización de software e instala cualquier parche de seguridad disponible. Si tu móvil se ha quedado en Android 12 o 13, lo trataríamos como una señal para cambiar de móvil, no como una rareza. Si alguna vez entra en bucle y te ofrece borrarlo todo, no elijas «Borrar datos»: conéctalo a un PC y sigue la vía de recuperación.

Y pregunta a tu fabricante, en público y sin miedo a ser pesado, cuándo llega el parche. La vulnerabilidad era un error. El silencio sobre la entrega es una decisión.