Le bulletin de sécurité de MediaTek, publié le 2 novembre 2026, recense 56 CVE : six critiques, 16 élevées et 34 moyennes. Les six failles critiques concernent le modem ; les trois CVE détaillées par CERT Paraguay ne représentent qu’une partie de ce groupe. Le bulletin de novembre fait suite à celui d’octobre, traité dans notre précédent article.
Six failles critiques dans le modem
Les six CVE critiques recensées sont CVE-2026-20499 et CVE-2026-20545 à CVE-2026-20549. MediaTek évalue leur gravité avec CVSS v3.1, un système de notation des vulnérabilités. Les trois failles mises en avant par CERT Paraguay sont des vulnérabilités CWE-787, catégorie qui désigne une écriture hors limites : un logiciel écrit au-delà de la zone mémoire prévue.
| CVE | Composant | Gravité | Faiblesse décrite |
| CVE-2026-20499 | Modem | Critique | Écriture hors limites possible en raison d’un contrôle des limites manquant. |
| CVE-2026-20545 | Modem | Critique | Écriture hors limites possible en raison d’un contrôle des limites manquant. |
| CVE-2026-20546 | Modem | Critique | Écriture hors limites possible en raison d’un contrôle des limites incorrect. |
La liste des chipsets dépend de chaque CVE
MediaTek associe une liste de chipsets à chaque vulnérabilité. Par exemple, MT6815 figure dans les listes des CVE-2026-20545 et CVE-2026-20546, mais pas dans celle de CVE-2026-20499. Le fabricant précise que ses listes de chipsets concernés peuvent ne pas être exhaustives. Le bulletin répertorie des chipsets, pas des modèles commerciaux de téléphones.
Une exploitation possible par une station de base malveillante
Dans son résumé publié le 3 novembre 2026, CERT Paraguay décrit un scénario possible : une personne contrôlant une station de base cellulaire malveillante pourrait exploiter un appareil vulnérable lorsqu’il s’y connecte. Ce scénario concerne les trois CVE résumées par l’organisme.
Dans le bulletin du 2 novembre, MediaTek indiquait ne pas avoir connaissance d’une exploitation active de ces vulnérabilités à l’état sauvage au moment de sa publication.
Les fabricants avaient reçu les correctifs en amont
MediaTek indique avoir averti les fabricants d’appareils, ou OEM, et leur avoir transmis les correctifs correspondants au moins deux mois avant la publication du bulletin. Le fabricant recommande aux utilisateurs d’installer les mises à jour de sécurité de leur appareil qui intègrent ces correctifs.
MediaTek publie 31 failles de chipset, dont deux critiques du modem
