Resumen

La autoridad de certificación eMudhra reveló el 20 de octubre de 2026 que las claves privadas de ocho de sus certificados de CA intermedios habían sido comprometidas y las revocó. Cualquiera que posea las claves privadas de esos certificados puede emitir un certificado que se haga pasar por cualquier sitio web de servicio. Un atacante en una posición de hombre en el medio podría usarla para interceptar o modificar el tráfico cifrado de una aplicación.

Unity depende de la plataforma subyacente para la seguridad de certificados. UnityTLS, la biblioteca TLS en el Runtime de Unity, toma sus certificados raíz de confianza del sistema operativo, por lo que una actualización del sistema operativo que elimina el certificado raíz afectado protege las aplicaciones de Unity en esa plataforma. Los jugadores deben mantener sus dispositivos actualizados y aplicar cualquier remediación que proporcione su plataforma. En Windows, Web (WebGL) y Android, el sistema operativo o el navegador validan los certificados y ya han bloqueado los comprometidos, por lo que las aplicaciones allí están protegidas siempre que el dispositivo reciba sus actualizaciones de seguridad normales.

Unity está lanzando actualizaciones para Unity 6000.0 y posteriores que añaden un bloqueo explícito para los certificados comprometidos en UnityTLS y abordan los componentes afectados en el Editor de Unity. Todos los proyectos en desarrollo activo deben actualizarse a estas versiones. No hay evidencia de que esto haya sido explotado contra aplicaciones de Unity, y no se ha identificado ningún impacto en usuarios o clientes.

Detalles de la vulnerabilidad

Component: Validación de certificados UnityTLS en el Runtime de Unity y el almacén de CA empaquetado

Fecha divulgada públicamente: 20 de octubre de 2026

Versiones afectadas: Ver la tabla de Plataformas Afectadas

Versiones afectadas: Ver la tabla de versiones del Editor de Unity

Tipo de vulnerabilidad: Validación de certificado incorrecta: los certificados intermedios revocados son confiables CWE-295

Potencial de Explotación

Un atacante con una posición de hombre en el medio, como una red Wi-Fi hostil o un enrutador comprometido, podría presentar un certificado emitido con una de las claves comprometidas. Una aplicación sin parches en una plataforma afectada lo aceptaría, permitiendo al atacante leer el tráfico (datos de Analytics, tokens de acceso al servicio, claves API) o falsificar respuestas del servidor. Un ataque dirigido a un juego es poco probable; el riesgo más realista es la intercepción oportunista de tráfico en redes comprometidas.

UnityTLS toma certificados raíz del sistema operativo y valida la cadena por sí misma usando los intermediarios que presenta el servidor. No puede verificar el estado de revocación. En plataformas donde UnityTLS valida la cadena por sí misma (macOS, Linux, Android y otras), una plataforma que solo bloquea los intermediarios comprometidos no protege las aplicaciones de Unity, pero una plataforma que elimina el certificado raíz que los firmó sí lo hace. En Windows, UnityTLS entrega la cadena al sistema operativo, que aplica la lista de certificados no permitidos de Microsoft.

No hay evidencia de que esto haya sido explotado contra aplicaciones de Unity.

Plataformas Afectadas

Tabla de Versiones del Editor de Unity

Las aplicaciones construidas con las versiones listadas del Editor de Unity antes de la versión parcheada se consideran vulnerables en las plataformas afectadas. Las versiones parcheadas están en curso para Unity 6000.0 y posteriores. Esta tabla se actualizará a medida que se lance cada versión parcheada. Última actualización: 28 de octubre de 2026.

Otros Productos de Unity

Descubrimiento

Este problema proviene de una vulneración pública de la autoridad de certificación de eMudhra, revelada el 20 de octubre de 2026. Los equipos de Seguridad e Ingeniería de Unity evaluaron cómo UnityTLS maneja los certificados afectados y desarrollaron una solución.

Pasos de corrección

Jugadores

Mantén actualizado el sistema operativo de tu dispositivo. Plataformas que han eliminado el certificado raíz afectado protegen las aplicaciones de Unity sin ningún cambio en la aplicación.

Desarrolladores

Actualización a la versión del Editor parcheada para su línea de lanzamiento para todos los proyectos en desarrollo activo. Reconstruir aplicaciones enviadas no es generalmente necesario. Para plataformas no enumeradas anteriormente, siga la guía de su proveedor de plataforma.

Si aún no puedes actualizar

Puedes agregar manejadores de certificados personalizados a UnityWebRequest y a las API de red de .NET que rechazan los certificados comprometidos, pero cada llamada de red debe estar cubierta, lo que generalmente es más trabajo que actualizar. Revisa lo que envía tu aplicación a través de la red; si se incluyen claves API o secretos similares, considera revocarlos y renovarlos.

Versiones Fijas de Unity

Enlaces directos a las primeras versiones fijas del Editor de Unity (que incluyen el Unity Runtime).
Se agregarán enlaces aquí a medida que se publique cada versión parcheada. Última actualización: 28 de octubre de 2026.