MediaTek publiceerde op 2 november 2026 een beveiligingsbulletin met 56 kwetsbaarheden: zes kritisch, zestien hoog en 34 middelzwaar. De zes kritieke fouten zitten in het modem. De drie CVE’s die CERT Paraguay uitlichtte, vormen een deel van die groep. MediaTek vermeldt de totalen en CVE’s in het bulletin.
De drie uitgelichte modemfouten
De drie CVE’s zijn als kritiek aangemerkt en geclassificeerd als CWE-787: een fout waarbij software buiten de grenzen van een geheugenbuffer kan schrijven. Bij twee kwetsbaarheden ontbreekt een controle op die grenzen; bij de derde werkt de controle niet goed.
| CVE | Onderdeel | Ernst | Beschreven fout |
| CVE-2026-20499 | Modem | Kritiek | Ontbrekende controle op buffergrenzen |
| CVE-2026-20545 | Modem | Kritiek | Ontbrekende controle op buffergrenzen |
| CVE-2026-20546 | Modem | Kritiek | Onjuist uitgevoerde controle op buffergrenzen |
MediaTek noemt zes kritieke modem-CVE’s: CVE-2026-20499 en CVE-2026-20545 tot en met CVE-2026-20549. De drie in de tabel zijn dus niet de volledige kritieke groep. Voor de ernstindeling gebruikte MediaTek CVSS v3.1, een systeem om de ernst van beveiligingslekken te beoordelen. Het bulletin van oktober telde 31 kwetsbaarheden, waaronder twee kritieke modemfouten; NeoTeo schreef eerder over die oktoberupdate.
Chipsetlijsten verschillen per CVE
MediaTek vermeldt getroffen chipsets afzonderlijk bij elke CVE. Zo staat MT6815 bij CVE-2026-20545 en CVE-2026-20546, maar niet bij CVE-2026-20499. De fabrikant waarschuwt bovendien dat de lijst met getroffen chipsets mogelijk niet volledig is. Een chipset die bij één CVE staat, hoort daarmee niet automatisch bij de getroffen lijst van een andere.
Het beschreven aanvalsscenario
CERT Paraguay beschreef op 3 november een mogelijk scenario voor de drie CVE’s: een kwetsbaar apparaat kan worden aangevallen wanneer het verbinding maakt met een kwaadaardig mobiel basisstation. CERT Paraguay beschreef deze mogelijkheid in zijn samenvatting. MediaTek zei in het bulletin van 2 november dat het op dat moment geen actieve uitbuiting van de genoemde kwetsbaarheden in het wild kende.
MediaTek zegt dat fabrikanten patches vooraf kregen
MediaTek zegt dat fabrikanten van apparaten (OEM’s) minstens twee maanden vóór publicatie op de hoogte waren gebracht van alle problemen en de bijbehorende beveiligingspatches hadden ontvangen. Het bedrijf raadt aan de beveiligingsupdate van de apparaatfabrikant te installeren zodra die de fixes bevat. Het bulletin koppelt kwetsbaarheden aan chipsets en noemt geen commerciële telefoons of uitroldata voor consumenten.
