Instalar una aplicación manipulada puede bastar para que un teléfono Android quede atrapado en un bucle de reinicios. Bitdefender ha divulgado GhostMap, un fallo que permite desencadenar ese bloqueo sin abrir la app ni concederle permisos. Según sus pruebas, reiniciar o recurrir al modo seguro no lo resuelve; recuperar el dispositivo puede exigir un restablecimiento de fábrica, con la pérdida de los datos locales sin copia de seguridad.
La investigación, publicada el 5 de noviembre de 2026, reproduce el problema en versiones desde Android 10, incluido un Pixel 10 con Android 17 y el parche de seguridad del 5 de agosto de 2026. Son resultados de laboratorio: Bitdefender no ha observado ataques que exploten el bucle persistente contra usuarios. El efecto demostrado es una denegación de servicio, es decir, impedir el uso del teléfono. Este fallo por sí mismo no roba datos, ejecuta código ni concede permisos adicionales.
Por qué la instalación puede impedir el arranque
El origen está en cómo Android interpreta una entrada de un APK, el archivo que contiene una aplicación instalable. Una discrepancia entre el método de compresión y el tamaño declarado puede hacer que el sistema intente leer una zona de memoria sin datos del archivo que la respalden. Ese acceso provoca el cierre del proceso afectado.
En la demostración creada por los investigadores, la aplicación consigue instalarse y contiene un recurso malformado que system_server, un proceso central de Android, lee automáticamente. Al hacerlo, falla y se reinicia. Después vuelve a leer el mismo recurso y falla de nuevo, impidiendo que el teléfono complete el arranque.
El hallazgo partió de una muestra real de malware bancario que bloqueaba los emuladores utilizados para analizarla durante la instalación. Aquella muestra no llegaba a instalarse: el bloqueo persistente del teléfono corresponde a la aplicación de demostración que Bitdefender desarrolló después.
La recuperación y la prevención tienen límites
Bitdefender comunicó el problema a Google los días 20 y 25 de agosto de 2026. Según la respuesta que relata el investigador, Google consideró el segundo informe fuera del alcance de una actualización de seguridad y lo remitió para una posible evaluación en una versión futura. Bitdefender no documenta una corrección publicada para GhostMap.
La malformación puede detectarse antes de instalar el archivo. Bitdefender afirma que su producto móvil muestra una alerta, aunque una aplicación de seguridad de terceros no puede bloquear por sí sola la instalación ni retirar otra app. La intervención del usuario debe producirse antes de que se desencadene el fallo, evitando instalar el archivo señalado.
Una vez iniciado el bucle, existe una posibilidad limitada de borrar el archivo mediante ADB, una herramienta de comunicación con Android desde un ordenador, si la depuración USB ya estaba habilitada. La operación debe aprovechar el intervalo entre fallos y, según Bitdefender, un reinicio completo puede cerrar esa ventana.
