Em 2 de novembro de 2026, a MediaTek publicou um boletim de segurança com 56 vulnerabilidades: seis críticas, 16 de alta gravidade e 34 de gravidade média. As seis críticas afetam o modem; as três falhas em destaque são apenas parte desse grupo.
Três falhas críticas atingem o modem
A MediaTek classifica CVE-2026-20499, CVE-2026-20545 e CVE-2026-20546 como falhas críticas CWE-787, uma categoria de escrita fora dos limites de memória. A diferença entre elas está na verificação desses limites:
| CVE | Componente | Gravidade | Falha descrita |
| CVE-2026-20499 | Modem | Crítica | Possível escrita fora dos limites por falta de verificação dos limites. |
| CVE-2026-20545 | Modem | Crítica | Possível escrita fora dos limites por falta de verificação dos limites. |
| CVE-2026-20546 | Modem | Crítica | Possível escrita fora dos limites por verificação incorreta dos limites. |
A MediaTek lista os chipsets afetados separadamente para cada CVE. Por exemplo, o MT6815 aparece nas listas de CVE-2026-20545 e CVE-2026-20546, mas não na de CVE-2026-20499. A empresa também informa que suas listas de chipsets afetados podem estar incompletas.
O cenário de ataque descrito
Em um resumo publicado em 3 de novembro, a CERT Paraguay descreveu um cenário possível em que um aparelho vulnerável seria explorado ao se conectar a uma estação rádio-base celular maliciosa. A entidade relacionou esse cenário às três falhas que aborda em seu resumo. A análise da CERT Paraguay descreve uma possibilidade, não um ataque ocorrido.
No boletim publicado em 2 de novembro, a MediaTek disse que não tinha conhecimento de exploração ativa das vulnerabilidades no mundo real naquele momento.
O que a MediaTek informou sobre as correções
A MediaTek afirmou que notificou os fabricantes de dispositivos, conhecidos como OEMs, sobre todas as falhas e forneceu as correções correspondentes pelo menos dois meses antes da publicação do boletim. A empresa recomenda instalar a atualização de segurança do fabricante que inclua essas correções.
O boletim relaciona chipsets por CVE, e não modelos comerciais de aparelhos. A cobertura da NeoTeo sobre o boletim de segurança da MediaTek de outubro trata da edição anterior.
