MediaTek、モデム・動画・AI関連コンポーネントの31件のセキュリティ脆弱性を修正

MediaTekは2026年10月のプロダクトセキュリティ情報（Product Security Bulletin）を公開しました。同社チップセットに幅広く採用されているモデム、動画、AI処理、ディスプレイ、トラステッド実行環境、システム関連の各コンポーネントについて、31件の脆弱性を修正しています。

クロスサイトスクリプティング対策

修正対象には、モデムの境界外書き込みの脆弱性2件（重大）のほか、メモリ破損、権限昇格、デバイスのクラッシュにつながるおそれのある深刻度「高」の脆弱性9件が含まれます。

10月5日に公開されたこの情報によると、MediaTekは影響を受けるデバイスメーカーに対し、公開の少なくとも2か月前に通知を行い、対応する修正を提供済みです。

同社は、公開時点では、報告された脆弱性が悪用されている事実は確認していないとしています。

重大な脆弱性2件は「CVE-2026-20519」と「CVE-2026-20520」で、いずれもMediaTekのモデムコンポーネントに影響します。どちらも境界チェックの欠如が原因で、境界外書き込み（CWE-787）が発生する可能性があります。

この種の欠陥では、不適切に処理されたデータが本来の範囲外のメモリを上書きし、デバイスの安定性やセキュリティが損なわれるおそれがあります。

影響を受けるプラットフォームには、MT6833、MT6855、MT6877、MT6881、MT6893、MT6983、MT6991、MT6993、MT8668、MT8792、MT8793、MT8893などのMediaTek製チップセットが含まれます。

セルラーベースバンド部品のメモリ破損の脆弱性は、特に懸念されます。モデムは移動体通信を担い、スマートフォンやコネクテッドデバイスにおいて、機微なハードウェアとソフトウェアの環境内で動作するためです。

MediaTekは、動画処理スタックにおける深刻度「高」の問題にも対処しました。「CVE-2026-20586」は動画デコーダー（vdec）コンポーネントに影響し、境界外書き込みを引き起こす可能性があります。

一方、「CVE-2026-20589」は動画エンコーダー（venc）コンポーネントに影響し、型混同（type confusion）の弱点を伴います。これらのコンポーネントは、スマートフォン、タブレット、Chromebook、その他のMediaTek搭載デバイスで、マルチメディアコンテンツの処理に広く使われています。

セキュリティ情報では、MediaTekのAI処理基盤に影響する欠陥についても詳述しています。「CVE-2026-20522」と「CVE-2026-20523」はNeuroPilotフレームワークに影響し、境界外書き込みを引き起こすおそれがあります。

さらに「CVE-2026-20524」はアプリケーション処理ユニット（APU）に影響し、不適切な入力検証によりメモリ破損を招く可能性があります。

深刻度「中」の3件（CVE-2026-20531、CVE-2026-20532、CVE-2026-20542）は、APUおよびAPUSYSコンポーネントに関連します。これらの脆弱性は、解放後使用（use-after-free）や二重解放（double-free）といったメモリ安全性の問題です。

ニューラル処理機能が一般消費者向けハードウェアへ一層組み込まれるなか、今回の開示は、オンデバイスAIソフトウェアスタックのセキュリティの重要性が高まっていることを示しています。

CVEの詳細

SOCのアラート調査を1件あたり21分短縮。即座に得られるIOCのコンテキストで、迅速な対応を実現します。 SOCにTI Lookupを導入する