Уязвимость в чипах MediaTek угрожает безопасности 25% Android-смартфонов

Эта уязвимость позволяет украсть PIN-код менее чем за три минуты, даже если телефон выключен, но подключён к USB во время включения. Проблема получила номер CVE-2026-20435 и поражает множество популярных процессоров бренда MediaTek.

Исследователи из Donjon Hacker Lab компании Ledger обнаружили, что уязвимость даёт злоумышленникам полный доступ к пользовательским данным — сообщения, фотографии и даже ключи от криптокошельков становятся доступными в считанные секунды. Как только хакер получает root-ключ, он может вскрыть шифрование и прочитать зашифрованные файлы офлайн. Весьма тревожно, что можно обмануть биометрию — сделать так, чтобы любое лицо или отпечаток принимался смартфоном как правильный пароль.

Вплоть до января 2026 года MediaTek уже выпустила патч, устраняющий эту проблему, но фрагментация Android-экосистемы мешает его быстрому распространению. Производители смартфонов часто задерживают обновления или вовсе прекращают их выпуск для старых моделей, поэтому многие телефоны останутся уязвимыми длительное время.

Уязвимые чипы MediaTek с ошибкой CVE-2026-20435

Среди затронутых процессоров MediaTek:

• Серии MT6700/MT6800/MT6900: MT6739, MT6761, MT6765, MT6768, MT6781, MT6789, MT6813, MT6833, MT6853, MT6855, MT6877, MT6878, MT6879, MT6880, MT6885, MT6886, MT6890, MT6893, MT6895, MT6897, MT6983, MT6985, MT6989, MT6990, MT6993;
• Серии MT8100/MT8600/MT8700: MT8169, MT8186, MT8188, MT8370, MT8390, MT8676, MT8678, MT8696, MT8793, MT2737.

Эта уязвимость затрагивает смартфоны среднего ценового сегмента от Oppo, Realme, Vivo, Xiaomi и других производителей. Концепт-демо атаки было успешно проведено на Nothing Phone 1, что подчёркивает реальность угрозы.

Причины задержки патчей в Android-смартфонах

MediaTek выпустила патч для устранения уязвимости в январе 2026 года, однако не все пользователи получили обновления из-за особенностей фрагментированной Android-экосистемы. Производители смартфонов сами решают, когда и будут ли предоставлены обновления для конкретных моделей. Из-за этого множество устройств остаются в зоне риска без своевременных обновлений безопасности.

Если ваш телефон не получит мартовское обновление Android 2026 года, рекомендуется не хранить на нём криптовалюту и другие ценные данные. В идеале стоит задуматься о замене устройства на более новый с регулярной поддержкой обновлений безопасности.

Главный технический директор Ledger Чарльз Гийме отметил, что смартфоны изначально не рассчитаны быть защищёнными хранилищами для секретной информации, что подчёркивает нехватку надёжных механизмов безопасности в массовых устройствах.