MediaTek opublikował 2 listopada 2026 r. listopadowy biuletyn bezpieczeństwa, w którym wymienił 56 CVE: 6 krytycznych, 16 o wysokim i 34 o średnim poziomie zagrożenia. Wszystkie sześć krytycznych pozycji dotyczy modemu. Trzy opisane przez CERT Paraguay to część tej grupy, a nie jej całość. Biuletyn MediaTek CERT Paraguay
Trzy krytyczne błędy modemu
MediaTek klasyfikuje CVE-2026-20499, CVE-2026-20545 i CVE-2026-20546 jako CWE-787, czyli możliwy zapis danych poza wyznaczonym obszarem pamięci. Firma przypisuje dwa pierwsze błędy brakowi kontroli granic, a trzeci nieprawidłowej kontroli.
| CVE | Komponent | Poziom | Opis błędu |
| CVE-2026-20499 | Modem | Krytyczny | Możliwy zapis poza zakresem z powodu braku kontroli granic. |
| CVE-2026-20545 | Modem | Krytyczny | Możliwy zapis poza zakresem z powodu braku kontroli granic. |
| CVE-2026-20546 | Modem | Krytyczny | Możliwy zapis poza zakresem z powodu nieprawidłowej kontroli granic. |
Sześć krytycznych CVE wśród 56 pozycji
Pełna grupa krytycznych wpisów obejmuje CVE-2026-20499 oraz CVE-2026-20545–CVE-2026-20549. MediaTek ocenił ich poziom zagrożenia według CVSS v3.1, systemu służącego do klasyfikowania powagi podatności.
Dla każdego CVE MediaTek podaje osobną listę chipsetów. Przykładowo MT6815 figuruje przy CVE-2026-20545 i CVE-2026-20546. Firma zaznacza, że wykaz chipsetów może być niepełny. Październikowy biuletyn MediaTek z 5 października opisaliśmy w osobnym materiale NeoTeo.
Opisany scenariusz ataku i stan poprawek
CERT Paraguay opisał możliwość wykorzystania trzech omawianych luk przez osobę kontrolującą złośliwą komórkową stację bazową, gdy podatne urządzenie się z nią połączy. To opis możliwego scenariusza. W biuletynie z 2 listopada MediaTek podał, że w chwili publikacji nie wiedział o aktywnym wykorzystywaniu wymienionych podatności w rzeczywistych atakach.
MediaTek poinformował, że producenci urządzeń (OEM) otrzymali powiadomienie o wszystkich problemach i odpowiadające im poprawki co najmniej dwa miesiące przed publikacją biuletynu. Firma zaleca instalowanie aktualizacji bezpieczeństwa producenta urządzenia zawierających te poprawki.
