CVE-2026-20418: Escrita fora de limites no Thread permite escalonamento remoto de privilégios (MediaTek)
O boletim de segurança da MediaTek de fevereiro de 2026 trata da CVE-2026-20418, uma escrita fora de limites (CWE-787) causada por uma verificação de limites ausente no componente Thread. O CNA atribui nota 9,8 (Crítica) no CVSS 3.1 e indica possível escalonamento remoto de privilégios sem interação do usuário. O registro não lista versão corrigida e a CVE não consta no catálogo KEV da CISA.
Visão geral
A MediaTek publicou a CVE-2026-20418 em seu boletim de segurança de produtos de fevereiro de 2026. O registro descreve uma escrita fora de limites causada por uma verificação de limites ausente no componente Thread, classificada pelo CNA como CWE-787.
Impacto
Segundo o registro, a falha pode levar a escalonamento remoto de privilégios sem privilégios adicionais de execução e sem interação do usuário. A nota base CVSS 3.1 atribuída pelo CNA é 9,8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto indicado no registro: Google Matter
- Versões indicadas no registro: 1.4 e anteriores (≤ 1.4)
A descrição menciona o Thread, enquanto o campo de produto afetado lista o Google Matter. O registro não explica essa relação, por isso as organizações devem confirmar os componentes e builds afetados no boletim do fabricante.
Status de exploração
A CVE não consta como listada no catálogo KEV da CISA neste registro. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
O registro inclui o Patch ID WCNCR00465153, mas não informa versão corrigida. A ausência de versão corrigida listada não significa que não exista correção. Consulte o boletim da MediaTek de fevereiro de 2026, entre em contato com os fornecedores dos produtos afetados e aplique as atualizações assim que forem publicadas.
- Mantenha um inventário dos dispositivos e produtos que usam o componente afetado.
- Priorize atualizações em sistemas expostos ou acessíveis remotamente.
Orientação para detecção
- Mantenha atualizados os inventários de firmware e software dos produtos afetados.
- Acompanhe os canais dos fabricantes e de CERTs nacionais para avisos atualizados.
- Observe travamentos inesperados, reinicializações ou comportamento de rede anormal em dispositivos afetados. São sinais gerais de problemas de corrupção de memória e não indicadores específicos desta CVE.
Limitações das informações disponíveis
O registro não possui título, lista de versões corrigidas, pontuação EPSS nem dados SSVC. A relação entre o componente Thread e o produto Google Matter listado não é informada. Detalhes do caminho de código vulnerável e as condições técnicas de exploração não constam nas fontes consultadas, e esta análise não os fornece.
Perguntas frequentes
A CVE-2026-20418 é explorada ativamente?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Existe versão corrigida para a CVE-2026-20418?
O registro não informa versão corrigida, mas inclui o Patch ID WCNCR00465153. Consulte o boletim da MediaTek de fevereiro de 2026 e o fornecedor do produto afetado para detalhes das atualizações.
Quais produtos são listados como afetados?
O registro lista o Google Matter com versões 1.4 e anteriores. A falha é descrita no componente Thread, e a relação entre os dois não é explicada no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.