Résumé

L'autorité de certification eMudhra a révélé le 20 octobre 2026 que les clés privées de huit de ses certificats d'autorité de certification intermédiaire avaient été compromises, et les a révoquées. Toute personne détenant les clés privées de ces certificats peut émettre un certificat qui usurpe n'importe quel site de service. Un attaquant en position de l'homme du milieu pourrait utiliser cela pour intercepter ou modifier le trafic chiffré d'une application.

Unity repose sur la plateforme sous-jacente pour la sécurité des certificats. UnityTLS, la bibliothèque TLS dans le Runtime Unity, tire ses certificats racines de confiance du système d'exploitation, de sorte qu'une mise à jour du système d'exploitation qui supprime le certificat racine affecté protège les applications Unity sur cette plateforme. Les joueurs doivent maintenir leurs appareils à jour et appliquer toute remédiation fournie par leur plateforme. Sur Windows, Web (WebGL) et Android, le système d'exploitation ou le navigateur valide les certificats et a déjà bloqué les compromis, donc les applications y sont protégées tant que l'appareil reçoit ses mises à jour de sécurité normales.

Unity publie des mises à jour pour Unity 6000.0 et ultérieures qui ajoutent un bloc explicite pour les certificats compromis dans UnityTLS et corrigent les composants affectés dans l'éditeur Unity lui-même. Tous les projets en cours de développement actif doivent se mettre à jour vers ces versions. Il n'existe aucune preuve que cela ait été exploité contre les applications Unity, et aucun impact sur les utilisateurs ou les clients n'a été identifié.

Détails de la faille

Composant: Validation du certificat UnityTLS dans le Runtime Unity et le magasin de CA intégré

Date rendue publique: 20 octobre 2026

Versions concernées: Voir le tableau des plateformes affectées

Versions concernées: Voir le tableau des versions de l'éditeur Unity

Type de vulnérabilité: Validation de certificat incorrecte : les certificats intermédiaires révoqués sont considérés comme fiables CWE-295

Potentiel d'exploitation

Un attaquant disposant d'une position d'homme du milieu, comme un réseau Wi-Fi hostile ou un routeur compromis, pourrait présenter un certificat émis avec l'une des clés compromises. Une application non patchée sur une plateforme affectée l'accepterait, permettant à l'attaquant de lire le trafic (données Analytics, jetons d'accès au service, clés API) ou de falsifier les réponses du serveur. Une attaque ciblée contre un jeu est peu probable ; le risque plus réaliste est l'interception opportuniste du trafic sur des réseaux compromis.

UnityTLS prend les certificats racines du système d'exploitation et valide la chaîne lui-même en utilisant les certificats intermédiaires présentés par le serveur. Il ne peut pas vérifier le statut de révocation. Sur les plateformes où UnityTLS valide la chaîne elle-même (macOS, Linux, Android et autres), une plateforme qui bloque uniquement les intermédiaires compromis ne protège pas les applications Unity, mais une plateforme qui supprime le certificat racine qui les a signées le fait. Sur Windows, UnityTLS passe la chaîne au système d'exploitation, qui applique la liste de certificats interdits de Microsoft.

Il n'y a aucune preuve que cela ait été exploité contre les applications Unity.

Plateformes affectées

Tableau de version de l'éditeur Unity

Les applications construites avec les versions listées de l'éditeur Unity avant la version corrigée sont considérées comme vulnérables sur les plateformes affectées. Les versions mises à jour sont en cours pour Unity 6000.0 et ultérieures. Ce tableau sera mis à jour à chaque version corrigée publiée. Dernière mise à jour : 28 octobre 2026.

Autres produits Unity

Découverte

Ce problème provient d'un compromis public de l'autorité de certification eMudhra, divulgué le 20 octobre 2026. Les équipes de sécurité et d'ingénierie de Unity ont évalué comment UnityTLS gère les certificats affectés et ont élaboré un correctif.

Étapes de correction

Joueurs

Maintenez votre système d'exploitation à jour. Les plateformes qui ont supprimé le certificat racine affecté protègent les applications Unity sans aucune modification de l'application.

Développeurs

Mise à jour de la version de l'Éditeur corrigée pour votre ligne de publication pour tous les projets en cours de développement. Reconstruire les applications livrées n'est généralement pas nécessaire. Pour les plateformes non listées ci-dessus, suivez les directives de votre fournisseur de plateforme.

Si vous ne pouvez pas mettre à jour pour l'instant

Vous pouvez ajouter des gestionnaires de certificats personnalisés à UnityWebRequest et aux API réseau .NET qui rejettent les certificats compromis, mais chaque appel réseau doit être couvert, ce qui est généralement plus de travail que la mise à jour. Vérifiez ce que votre application envoie sur le réseau ; si des clés API ou des secrets similaires sont inclus, envisagez de les révoquer et de les renouveler.

Versions fixes Unity

Liens directs vers les premières versions fixes de l'éditeur Unity (qui incluent le runtime Unity).
Les liens seront ajoutés ici à chaque version corrigée qui sera publiée. Dernière mise à jour : 28 octobre 2026.