Il bollettino di sicurezza MediaTek del 2 novembre 2026 elenca 56 vulnerabilità: sei critiche, 16 ad alta gravità e 34 di gravità media. Tutte e sei le voci critiche riguardano il modem; le tre descritte in dettaglio da CERT Paraguay sono quindi una parte, non l’intero gruppo. MediaTek aveva comunicato agli OEM le vulnerabilità e fornito le patch corrispondenti almeno due mesi prima della pubblicazione.
Che cosa distingue i tre CVE del modem
MediaTek classifica CVE-2026-20499, CVE-2026-20545 e CVE-2026-20546 come vulnerabilità critiche CWE-787, una categoria che indica scritture fuori dai limiti di memoria. Le prime due riguardano un controllo dei limiti mancante; la terza un controllo implementato in modo errato.
| CVE | Componente | Gravità | Difetto descritto |
| CVE-2026-20499 | Modem | Critica | Scrittura fuori dai limiti dovuta a un controllo mancante |
| CVE-2026-20545 | Modem | Critica | Scrittura fuori dai limiti dovuta a un controllo mancante |
| CVE-2026-20546 | Modem | Critica | Scrittura fuori dai limiti dovuta a un controllo errato |
Gli elenchi dei chipset interessati sono distinti per ciascun CVE: un identificativo presente in una voce non va attribuito automaticamente alle altre. Per esempio, MediaTek include MT6815 per CVE-2026-20545 e CVE-2026-20546, ma non per CVE-2026-20499. L’azienda avverte inoltre che l’elenco dei chipset interessati potrebbe non essere completo.
I numeri del bollettino completo
Le sei vulnerabilità critiche fanno parte di un totale di 56 CVE: oltre alle sei critiche, MediaTek ne classifica 16 ad alta gravità e 34 a gravità media. L’azienda dichiara di aver valutato la gravità con CVSS v3.1, un sistema di valutazione delle vulnerabilità. Il bollettino di novembre è il seguito di quello di ottobre, trattato da NeoTeo.
Lo scenario della stazione base malevola
Nel riepilogo pubblicato il 3 novembre, CERT Paraguay descrive un possibile scenario in cui una stazione base cellulare malevola sfrutta una vulnerabilità quando un dispositivo vulnerabile si collega a quella rete. MediaTek ha dichiarato, al momento della pubblicazione del bollettino, di non essere a conoscenza di sfruttamenti attivi in circolazione. La prima è una possibilità descritta da CERT Paraguay; la seconda è la dichiarazione di MediaTek sulla propria conoscenza al 2 novembre. CERT Paraguay
Le patch fornite agli OEM
MediaTek afferma di aver avvisato i produttori dei dispositivi e fornito loro le patch corrispondenti almeno due mesi prima del bollettino. Raccomanda di installare gli aggiornamenti di sicurezza del produttore che incorporano queste correzioni.
