Краткая информация

Центр сертификации eMudhra сообщил 20 октября 2026 года, что закрытые ключи восьми из его промежуточных сертификатов удостоверяющих центров были скомпрометированы, и отозвал их. Любой, кто владеет закрытыми ключами для этих сертификатов, может выпустить сертификат, имитирующий любые веб-сайты сервиса. Злоумышленник в позиции "человек посередине" может использовать это для перехвата или изменения зашифрованного трафика приложения.

Unity полагается на базовую платформу для обеспечения безопасности сертификатов. UnityTLS, библиотека TLS в Unity Runtime, получает свои доверенные корневые сертификаты из операционной системы, поэтому обновление операционной системы, удаляющее затронутый корневой сертификат, защищает приложения Unity на этой платформе. Игроки должны поддерживать свои устройства в актуальном состоянии и применять любые исправления, которые предоставляет их платформа. В Windows, Web (WebGL) и Android операционная система или браузер проверяют сертификаты и уже заблокировали скомпрометированные, поэтому приложения там защищены, пока устройство получает свои обычные обновления безопасности.

Unity выпускает обновления для Unity 6000.0 и более поздних версий, которые добавляют явный блок для скомпрометированных сертификатов в UnityTLS и устраняют затронутые компоненты в самом Unity Editor. Все проекты, находящиеся в активной разработке, должны обновиться до этих релизов. Нет доказательств того, что это было использовано против приложений Unity, и не выявлено никакого воздействия на пользователей или клиентов.

Сведения об уязвимости

Компонент: Проверка сертификата UnityTLS в рантайме Unity и встроенное хранилище доверенных центров сертификации

Дата публичного раскрытия: 20 октября 2026 г.

Затронутые версии: Посмотрите таблицу затронутых платформ

Затронутые версии: Посмотрите таблицу версий Unity Editor

Тип уязвимости: Неправильная проверка сертификата: отозванные промежуточные сертификаты считаются доверенными CWE-295

Потенциал эксплуатации

Злоумышленник, находящийся в позиции "человек посередине", например, в вредоносной сети Wi-Fi или скомпрометированном маршрутизаторе, может представить сертификат, выданный с одним из скомпрометированных ключей. Необновленное приложение на затронутой платформе примет это, позволив злоумышленнику читать трафик (данные Analytics, токены доступа к сервисам, ключи API) или подделывать ответы сервера. Целенаправленная атака на игру маловероятна; более реалистичный риск — это оппортунистический перехват трафика в скомпрометированных сетях.

UnityTLS извлекает корневые сертификаты из операционной системы и самостоятельно проверяет цепочку, используя промежуточные сертификаты, представленные сервером. Он не может проверить статус отзыва. На платформах, где UnityTLS самостоятельно проверяет цепочку (macOS, Linux, Android и другие), платформа, которая только блокирует скомпрометированные промежуточные сертификаты, не защищает приложения Unity, но платформа, которая удаляет корневой сертификат, подписавший их, защищает. В Windows UnityTLS передает цепочку операционной системе, которая применяет список запрещенных сертификатов Microsoft.

Нет доказательств того, что это было использовано против приложений Unity.

Затронутые платформы

Таблица версий Unity Editor

Приложения, созданные с использованием перечисленных версий Unity Editor до исправленной версии, считаются уязвимыми на затронутых платформах. Выпускаются патчи для Unity 6000.0 и более поздних версий. Эта таблица будет обновляться по мере выпуска каждой пропатченной версии. Последнее обновление: 28 октября 2026 года.

Другие продукты Unity

Открытие

Эта проблема возникла из-за публичного компрометации центросертификационного органа eMudhra, о чем было объявлено 20 октября 2026 года. Команды по безопасности и инженерии Unity оценили, как UnityTLS обрабатывает затронутые сертификаты, и разработали исправление.

Действия по устранению

Игроки

Обновляйте операционную систему вашего устройства. Платформы, удалившие затронутый корневой сертификат, защищают приложения Unity без каких-либо изменений в приложении.

Разработчики

Обновление до исправленной версии Редактора для вашей линии выпуска для всех проектов в активной разработке. Пересборка выпущенных приложений обычно не требуется. Для платформ, не перечисленных выше, следуйте инструкциям вашего поставщика платформы.

Если вы пока не можете обновить

Вы можете добавить пользовательские обработчики сертификатов к UnityWebRequest и .NET сетевым API, которые отклоняют скомпрометированные сертификаты, но каждый сетевой вызов должен быть покрыт, что обычно требует больше усилий, чем обновление. Проверьте, что отправляет ваше приложение по сети; если включены ключи API или аналогичные секреты, рассмотрите возможность их отзыва и обновления.

Фиксированные версии Unity

Прямые ссылки на первые фиксированные версии Unity Editor (включающие Unity Runtime).
Ссылки будут добавлены здесь по мере выпуска каждой пропатченной версии. Последнее обновление: 28 октября 2026 года.