Tóm tắt

Tổ chức chứng thực eMudhra đã tiết lộ vào ngày 20 tháng 10 năm 2026 rằng các khóa riêng tư cho tám chứng chỉ CA trung gian của mình đã bị xâm phạm và đã thu hồi chúng. Bất kỳ ai giữ khóa riêng tư cho các chứng chỉ đó đều có thể phát hành một chứng chỉ giả mạo bất kỳ trang web dịch vụ nào. Một kẻ tấn công ở vị trí người ở giữa có thể sử dụng nó để chặn hoặc sửa đổi lưu lượng được mã hóa của một ứng dụng.

Unity dựa vào nền tảng cơ bản để bảo mật chứng chỉ. UnityTLS, thư viện TLS trong Unity Runtime, lấy các chứng chỉ gốc đáng tin cậy từ hệ điều hành, vì vậy việc cập nhật hệ điều hành loại bỏ chứng chỉ gốc bị ảnh hưởng sẽ bảo vệ các ứng dụng Unity trên nền tảng đó. Người chơi nên cập nhật thiết bị của mình và áp dụng bất kỳ biện pháp khắc phục nào mà nền tảng của họ cung cấp. Trên Windows, Web (WebGL) và Android, hệ điều hành hoặc trình duyệt xác thực các chứng chỉ và đã chặn các chứng chỉ bị xâm phạm, vì vậy các ứng dụng ở đó được bảo vệ miễn là thiết bị nhận được các bản cập nhật bảo mật thông thường.

Unity đang phát hành các bản cập nhật cho Unity 6000.0 trở lên bổ sung một khối rõ ràng cho các chứng chỉ bị xâm phạm trong UnityTLS và giải quyết các thành phần bị ảnh hưởng trong chính Unity Editor. Tất cả các dự án đang được phát triển phải cập nhật lên các bản phát hành này. Không có bằng chứng nào cho thấy điều này đã bị khai thác chống lại các ứng dụng Unity, và không có tác động nào đến người dùng hoặc khách hàng được xác định.

Chi tiết lỗ hổng

Thành phần: Xác thực chứng chỉ UnityTLS trong Unity Runtime và kho CA được đóng gói

Ngày công bố công khai: Ngày 20 tháng 10 năm 2026

Các phiên bản bị ảnh hưởng: Xem bảng Các nền tảng bị ảnh hưởng

Các phiên bản bị ảnh hưởng: Xem bảng Phiên bản Unity Editor

Loại lỗ hổng: Xác thực chứng chỉ không đúng: các chứng chỉ trung gian bị thu hồi được tin cậy CWE-295

Tiềm năng khai thác

Một kẻ tấn công ở vị trí người ở giữa, chẳng hạn như mạng Wi-Fi độc hại hoặc bộ định tuyến bị xâm phạm, có thể trình bày một chứng chỉ được cấp bằng một trong các khóa bị xâm phạm. Một ứng dụng chưa được vá trên nền tảng bị ảnh hưởng sẽ chấp nhận nó, cho phép kẻ tấn công đọc lưu lượng truy cập (dữ liệu Analytics, mã thông báo truy cập dịch vụ, khóa API) hoặc giả mạo các phản hồi của máy chủ. Một cuộc tấn công có chủ đích vào trò chơi là khó xảy ra; rủi ro thực tế hơn là việc chặn lưu lượng truy cập một cách cơ hội trên các mạng bị xâm phạm.

UnityTLS lấy các chứng chỉ gốc từ hệ điều hành và tự xác thực chuỗi bằng các chứng chỉ trung gian mà máy chủ cung cấp. Nó không thể kiểm tra trạng thái thu hồi. Trên các nền tảng mà UnityTLS tự xác thực chuỗi (macOS, Linux, Android và các nền tảng khác), một nền tảng chỉ chặn các trung gian bị xâm phạm sẽ không bảo vệ các ứng dụng Unity, nhưng một nền tảng loại bỏ chứng chỉ gốc đã ký chúng thì có. Trên Windows, UnityTLS chuyển chuỗi cho hệ điều hành, nơi áp dụng danh sách chứng chỉ bị Microsoft cấm.

Không có bằng chứng nào cho thấy điều này đã bị khai thác chống lại các ứng dụng Unity.

Các nền tảng bị ảnh hưởng

Bảng Phiên bản Unity Editor

Các ứng dụng được xây dựng bằng các phiên bản Unity Editor được liệt kê trước phiên bản đã được vá được coi là dễ bị tấn công trên các nền tảng bị ảnh hưởng. Các bản phát hành vá lỗi đang được tiến hành cho Unity 6000.0 trở lên. Bảng này sẽ được cập nhật khi mỗi phiên bản vá được phát hành. Cập nhật lần cuối: Ngày 28 tháng 10 năm 2026.

Các Sản phẩm Unity Khác

Khám phá

Vấn đề này xuất phát từ việc cơ quan chứng thực eMudhra bị xâm phạm công khai, được tiết lộ vào ngày 20 tháng 10 năm 2026. Các đội An ninh và Kỹ thuật của Unity đã đánh giá cách UnityTLS xử lý các chứng chỉ bị ảnh hưởng và xây dựng một bản vá.

Các bước khắc phục

Người chơi

Giữ hệ điều hành của thiết bị của bạn được cập nhật. Các nền tảng đã gỡ bỏ chứng chỉ gốc bị ảnh hưởng bảo vệ các ứng dụng Unity mà không cần thay đổi ứng dụng.

Các nhà phát triển

Cập nhật phiên bản Editor đã được vá cho dòng phát hành của bạn cho tất cả các dự án đang được phát triển. Việc xây dựng lại các ứng dụng đã được phát hành thường không cần thiết. Đối với các nền tảng không được liệt kê ở trên, hãy làm theo hướng dẫn của nhà cung cấp nền tảng của bạn.

Nếu bạn chưa thể cập nhật

Bạn có thể thêm các trình xử lý chứng chỉ tùy chỉnh vào UnityWebRequest và các API mạng .NET để từ chối các chứng chỉ bị xâm phạm, nhưng mọi cuộc gọi mạng đều phải được bao phủ, điều này thường tốn nhiều công sức hơn là cập nhật. Xem lại những gì ứng dụng của bạn gửi qua mạng; nếu có bao gồm các khóa API hoặc các bí mật tương tự, hãy cân nhắc thu hồi và gia hạn chúng.

Các Phiên Bản Cố Định của Unity

Các liên kết trực tiếp đến các phiên bản cố định đầu tiên của Unity Editor (bao gồm Unity Runtime).
Các liên kết sẽ được thêm vào đây khi mỗi phiên bản vá được phát hành. Cập nhật lần cuối: Ngày 28 tháng 10 năm 2026.