Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de MediaTek

Resumen de la alerta

MediaTek ha publicado su boletín de seguridad de noviembre de 2026, que reúne 56 vulnerabilidades: 6 clasificadas como críticas, 16 de severidad alta y 34 de severidad media según el fabricante.

Las seis vulnerabilidades críticas identificadas afectan al módem de determinados chipsets y componentes MediaTek. Todas están relacionadas con condiciones de escritura fuera de límites y, en determinadas circunstancias, podrían permitir una elevación remota de privilegios si el dispositivo se conecta a una estación base maliciosa controlada por un atacante.

El aviso de INCIBE-CERT indica que no existe explotación conocida de los CVE críticos incluidos en esta alerta. No obstante, la severidad y el componente afectado hacen recomendable priorizar la identificación de los dispositivos pendientes de actualización.

Recursos afectados

Se ven afectados los dispositivos que incorporen los chipsets y componentes MediaTek enumerados para cada CVE en el boletín de seguridad del fabricante y que no hayan recibido los parches correspondientes.

La relación de chipsets afectados varía según el identificador de vulnerabilidad. Por este motivo, es necesario comprobar la referencia concreta de cada dispositivo y verificar con su fabricante si dispone de una actualización que integre las correcciones de MediaTek.

Descripción de las vulnerabilidades

Las vulnerabilidades críticas comunicadas afectan al módem, el componente encargado de las comunicaciones móviles del dispositivo. Los fallos descritos pueden provocar escrituras fuera de los límites previstos de memoria, una condición que puede producirse cuando el software procesa datos sin validar adecuadamente su tamaño, rango o formato.

Los identificadores CVE críticos incluidos en el aviso son los siguientes:

• CVE-2026-20499: ausencia de comprobaciones de límites.
• CVE-2026-20545: ausencia de comprobaciones de límites.
• CVE-2026-20546: comprobación incorrecta de límites.
• CVE-2026-20547: ausencia de comprobaciones de límites.
• CVE-2026-20548: desbordamiento de enteros.
• CVE-2026-20549: validación incorrecta de los datos de entrada.

Una comprobación de límites insuficiente puede permitir que una operación escriba datos más allá del espacio de memoria asignado. Por su parte, un desbordamiento de enteros puede alterar el resultado de cálculos utilizados para gestionar tamaños o posiciones de datos. Ambos tipos de error pueden comprometer el comportamiento esperado del componente afectado.

Impacto y nivel de riesgo

Según la información disponible, una explotación satisfactoria podría permitir una elevación remota de privilegios en el dispositivo afectado. El escenario descrito requiere que el dispositivo se conecte a una estación base maliciosa bajo control del atacante.

La fuente señala que este ataque no requeriría privilegios adicionales ni interacción del usuario. Sin embargo, esto representa un impacto potencial asociado a las vulnerabilidades; no confirma la existencia de campañas, ataques activos ni explotación conocida.

Además de las seis vulnerabilidades críticas del módem, el boletín de noviembre de 2026 de MediaTek incorpora otras vulnerabilidades que podrían dar lugar a elevación de privilegios, divulgación de información o interrupción de servicios, según el componente implicado y las condiciones de explotación.

Solución y medidas recomendadas

La medida indicada consiste en instalar la actualización de seguridad proporcionada por el fabricante del dispositivo que incluya los parches publicados por MediaTek.

MediaTek suministra las correcciones a los fabricantes que integran sus componentes, por lo que la disponibilidad de la actualización puede depender de cada dispositivo concreto. El aviso no detalla versiones afectadas ni versiones corregidas.

• Comprobar si los dispositivos utilizados incorporan chipsets o componentes MediaTek afectados por los CVE indicados.
• Revisar las actualizaciones de seguridad publicadas por el fabricante de cada dispositivo.
• Aplicar las actualizaciones disponibles conforme a los procedimientos internos de gestión de cambios.
• Verificar que los dispositivos gestionados por la organización mantienen un estado de actualización adecuado tras el despliegue.

Recomendaciones para organizaciones afectadas

1. Inventariar los dispositivos: identificar equipos que utilicen componentes MediaTek y confirmar los modelos concretos desplegados en la organización.
2. Priorizar los equipos sin actualizar: centrar la revisión en dispositivos que no hayan recibido actualizaciones de seguridad recientes del fabricante.
3. Consultar la información del proveedor: validar la disponibilidad de parches para cada referencia, dado que los chipsets afectados pueden variar entre CVE.
4. Planificar el despliegue: aplicar las actualizaciones facilitadas por el fabricante del dispositivo tras las validaciones operativas que correspondan.
5. Documentar el estado de corrección: mantener un registro de los dispositivos revisados, actualizados o pendientes de parche para facilitar el seguimiento del riesgo.