El investigador Mark Blaszczyk hizo pública el 29 de octubre de 2026 una vulnerabilidad que puede bloquear la telefonía de Android con un SMS WAP Push malformado. El cambio de código de Google captura los fallos durante su procesamiento y elimina el mensaje problemático para evitar que provoque cierres repetidos. Blaszczyk atribuye la corrección de octubre a Android 14–17; sus pruebas de la vulnerabilidad abarcaron Android 12–16.
Cómo un SMS puede interrumpir la telefonía
WAP Push es un tipo de mensaje de datos que Android puede procesar automáticamente antes de que aparezca en la bandeja de entrada. Según la divulgación de Mark Blaszczyk, un mensaje malformado puede desencadenar una excepción en WapPushOverSms.decodeWapPdu() y cerrar com.android.phone, el proceso que gestiona la telefonía del dispositivo.
El efecto descrito es la pérdida de servicio móvil y la interrupción de llamadas activas, incluidas las de emergencia. El fallo afecta al proceso de telefonía; no implica por sí mismo que el hardware del móvil quede dañado.
Qué cambia el código de Google
El commit 735d967 del Android Open Source Project (AOSP) captura excepciones de ejecución (RuntimeException) durante la decodificación de WAP Push y la difusión del SMS. Si el procesamiento falla, elimina de la base de datos sin procesar el registro asociado al mensaje, para que ese mismo elemento no provoque un bucle persistente de cierres. El commit quedó registrado el 5 de agosto de 2026, antes de que Blaszczyk hiciera pública la vulnerabilidad.
SavvyNik dedica un breve segmento en inglés sobre el fallo a su resumen semanal de ciberseguridad.
Versiones probadas, alcance del parche y CVE
Blaszczyk informó de reproducciones del fallo en Android 12–16 y situó la corrección de octubre de 2026 en Android 14–17. Son dos alcances distintos: el primero corresponde a las versiones en las que dijo haber reproducido el fallo; el segundo, a las versiones que atribuye a la corrección. Android 12 y 13 quedan fuera del alcance de esa corrección según su informe.
El boletín de seguridad de Android de octubre, publicado el 5 de octubre, enumera CVE-2026-58865 como una denegación de servicio crítica en Framework. El boletín de Google no vincula ese CVE con el fallo WAP Push, y el commit tampoco lo identifica con ese número. La actualización 2026-10-01 o posterior cubre los problemas que Google enumera para ese nivel de parche; el alcance específico del arreglo WAP Push para Android 14–17 es el que comunica Blaszczyk.
