CVE-2026-20407: Driver WLAN STA da MediaTek - escalonamento local de privilégios por escrita fora dos limites
A CVE-2026-20407 é uma falha no driver WLAN STA da MediaTek causada por verificação de limites ausente, classificada como CWE-787 (escrita fora dos limites). A descrição indica escalonamento local de privilégios com execução em nível de usuário e sem interação do usuário, e a NVD registra pontuação CVSS 3.1 base de 9,3 (crítica). O registro não informa versão corrigida nem exploração confirmada, por isso convém verificar o boletim de fevereiro de 2026 da MediaTek para as builds em uso.
Visão geral O registro CVE-2026-20407 descreve uma possível escalação de privilégio no driver wlan STA causada por verificação de limites ausente. A classificação CWE atribuída no registro é CWE-787, escrita fora dos limites. O registro cita como referência do fabricante o boletim de segurança de produtos da MediaTek de fevereiro de 2026, foi publicado em 2026-02-02 e tem status de origem Analyzed. ## Impacto Segundo o registro, um agente local capaz de executar código com privilégios de usuário poderia escalar privilégios, sem necessidade de interação do usuário. A NVD atribui pontuação base CVSS 3.1 de 9,3, com vetor de ataque local, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade. Como o escopo consta como alterado, os efeitos podem ir além do componente de driver vulnerável, o que é uma inferência a partir da string de vetor. ## Produtos e versões afetados - O registro lista o produto Mediatek Nbiot Sdk com versões ≤ 3.8. - A descrição menciona o driver wlan STA, que não corresponde claramente ao nome de um SDK NB-IoT, por isso o mapeamento deve ser confirmado no boletim do fabricante. - Nenhuma versão corrigida consta no registro. ## Status de exploração O indicador do catálogo KEV neste registro é falso, portanto a CVE não consta ali como explorada ativamente. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não traz pontuação EPSS. ## Correção e mitigação - Verifique no boletim de fevereiro de 2026 da MediaTek a build corrigida correspondente ao seu dispositivo, chipset e versão do SDK. - Aplique as atualizações fornecidas pelo fabricante, incluindo o patch identificado no registro como WCNCR00464377, depois de confirmar que se aplicam à sua build. - Limite a execução de código local não confiável em dispositivos afetados e mantenha o princípio do menor privilégio para contas de usuário e serviços. - Mantenha um inventário de dispositivos e builds de SDK que incluam componentes Wi-Fi da MediaTek, para acompanhar o status das correções. ## Orientações de detecção - Monitore endpoints e dispositivos embarcados quanto a mudanças inesperadas de privilégio, elevação anômala de processos e falhas incomuns do driver ou do kernel. - Revise os logs do sistema em busca de falhas do driver wireless próximas a atividades locais suspeitas. - Trate esses sinais apenas como indicadores gerais; o registro não descreve artefatos específicos a procurar. ## Limitações das informações disponíveis O registro não inclui versão corrigida, dados CVSS fornecidos pelo fabricante além do provedor listado, pontuação EPSS, resultado SSVC ou título do CNA. A descrição menciona o requisito de execução por usuário, enquanto o vetor CVSS registra que nenhum privilégio é exigido, e o nome do produto afetado difere do driver citado na descrição. Esses pontos devem ser esclarecidos com o boletim do fabricante antes de decisões de implantação.
Perguntas frequentes
O que é a CVE-2026-20407?
É uma falha no driver WLAN STA da MediaTek causada por verificação de limites ausente, classificada como escrita fora dos limites (CWE-787), que o registro descreve como capaz de permitir escalonamento local de privilégios.
A CVE-2026-20407 é explorada na prática?
O registro mostra que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Qual versão corrige a falha?
O registro não informa versão corrigida. Consulte o boletim de fevereiro de 2026 da MediaTek para identificar a build aplicável ao seu dispositivo.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.