MediaTek, sahte baz istasyonuyla istismar edilebilen 6 kritik modem açığını kapattı

MediaTek, 2 Kasım’da yayımladığı Kasım 2026 ürün güvenlik bülteninde bazı yonga setlerini etkileyen 56 açığı duyurdu. Bültene göre açıklardan 6’sı Critical, 16’sı High, 34’ü Medium olarak sınıflandırıldı. MediaTek sınıflandırmayı CVSS 3.1’e göre yaptığını belirtiyor, ancak bültende ve CVE kayıtlarında CVSS puanı yer almıyor. Künyedeki “kritik” önem derecesi bu yüzden MediaTek’in kendi sınıflandırmasına dayanıyor.

MediaTek’e göre cihaz üreticilerine bütün açıklar ve ilgili güvenlik yamaları yayımdan en az iki ay önce bildirildi. Şirket, açıkların saldırılarda kullanıldığını şu an için bilmediğini belirtiyor.

Kritik modem açıkları

Critical olarak sınıflandırılan 6 açığın (CVE-2026-20499, CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-20548 ve CVE-2026-20549) hepsi modem bileşeninde bulunuyor ve hepsi sınır dışı yazma (out-of-bounds write) açığı. Bültene göre açıklar eksik ya da hatalı sınır kontrolünden, bir tamsayı taşmasından ya da girdinin yeterince doğrulanmamasından kaynaklanıyor.

CVE kayıtlarına göre bu açıklar, kullanıcının cihazı saldırganın kontrolündeki sahte bir baz istasyonuna bağlandığında uzaktan yetki yükseltmeye yol açabiliyor. Saldırganın ek bir yetkiye ihtiyacı yok ve kullanıcının hiçbir şey yapması gerekmiyor. Bültene göre her bir açık 75 ile 82 arasında yonga seti modelini etkiliyor.

Diğer açıklar

CVE kayıtlarına göre bültendeki diğer modem açıklarının bir kısmı da aynı koşulda, yani cihaz sahte bir baz istasyonuna bağlandığında, uzaktan yetki yükseltmeye, çoğu ise uzaktan hizmet dışı bırakmaya yol açabiliyor. Bültende ayrıca GPU pdma, usb, afe, adsp, gnss ve display gibi başka alt bileşenlerde de açıklar var. Bunların çoğu kayıtlara göre yerel yetki yükseltmeye ya da sistemin çökmesine yol açabiliyor.

Önerilen önlemler

MediaTek’e göre yamalar cihaz üreticilerine yayımdan en az iki ay önce iletildi. Siber Güvenlik Başkanlığı, 2 Kasım’da yayımladığı TR-26-1434 numaralı bildirimde kullanıcı ve sistem yöneticilerine yayımlanan dokümanları incelemelerini ve gerekli önlemleri ivedilikle almalarını öneriyor.