MediaTek publicó el 2 de noviembre su boletín de seguridad de noviembre de 2026: enumera 56 vulnerabilidades, seis críticas, 16 altas y 34 medias. Las tres vulnerabilidades críticas del módem destacadas en los días siguientes forman parte de ese grupo de seis. El boletín de MediaTek también indica que los fabricantes de dispositivos recibieron los parches correspondientes al menos dos meses antes de su publicación.
El nuevo boletín llega después del de octubre, que NeoTeo cubrió aquí.
Qué describen los tres fallos críticos del módem
MediaTek clasifica los tres como CWE-787, una escritura fuera de límites: el sistema puede escribir datos fuera del espacio de memoria previsto. La diferencia está en cómo falla la comprobación que debería impedirlo.
| CVE | Componente | Gravedad | Fallo descrito |
| CVE-2026-20499 | Módem | Crítica | Falta una comprobación de límites. |
| CVE-2026-20545 | Módem | Crítica | Falta una comprobación de límites. |
| CVE-2026-20546 | Módem | Crítica | La comprobación de límites está implementada incorrectamente. |
Los identificadores de chipset aparecen asociados a cada CVE, y las listas no son intercambiables. Por ejemplo, MT6815 figura para CVE-2026-20545 y CVE-2026-20546, pero no para CVE-2026-20499. MediaTek advierte además de que su lista de chipsets afectados podría no estar completa.
El alcance del boletín de noviembre
Los tres fallos destacados no son los únicos críticos: MediaTek enumera seis CVE críticos del módem, CVE-2026-20499 y CVE-2026-20545 a CVE-2026-20549. El resumen del boletín añade 16 vulnerabilidades de gravedad alta y 34 de gravedad media, para un total de 56. MediaTek evaluó la gravedad con CVSS v3.1.
El escenario de ataque descrito
En un resumen publicado el 3 de noviembre, CERT Paraguay describió una posible explotación de los tres CVE cuando un dispositivo vulnerable se conecta a una estación base celular maliciosa. CERT Paraguay presenta ese escenario como una posibilidad. Por su parte, MediaTek dijo que al publicar el boletín no tenía conocimiento de explotación activa de las vulnerabilidades en la red.
Qué dice MediaTek sobre los parches
MediaTek afirmó que había avisado a los fabricantes de dispositivos y les había enviado los parches correspondientes al menos dos meses antes de publicar el boletín. La compañía recomienda instalar las actualizaciones de seguridad del fabricante que incorporen esas correcciones.
El boletín identifica chipsets, no modelos comerciales de teléfonos. Para saber qué actualización corresponde a un dispositivo, el usuario debe consultar las actualizaciones de seguridad que publique su fabricante.
