Unity Technologies wydało oficjalne ostrzeżenie o krytycznej luce w silniku Unity, która dotyczy szerokiego zakresu wersji edytora i gier stworzonych na tej platformie. Problem, zidentyfikowany jako CVE-2025-59489, klasyfikowany jest jako luka o wysokim stopniu zagrożenia z wynikiem CVSS wynoszącym 8.4.
Odkryta przez RyotaK z GMO Flatt Security Inc. 4 czerwca 2025 roku, luka ta jest związana z niebezpiecznym ładowaniem plików i lokalnym włączaniem plików w zależności od systemu operacyjnego. Może to prowadzić do wykonania dowolnego kodu lub nieautoryzowanego dostępu z tymi samymi uprawnieniami co aplikacja.
Zgodnie z informacjami od Unity, luka ta wpływa na aplikacje i gry na Androida, Windows, Linux oraz macOS. Projekty korzystające z niestandardowych uchwytów URI na Windows są uważane za szczególnie narażone.
Unity podkreśliło, że jak dotąd nie zgłoszono przypadków wykorzystania luki ani żadnych szkód wyrządzonych użytkownikom. Niemniej jednak firma wydała poprawki i wzywa deweloperów do natychmiastowej aktualizacji.
Poprawione wersje edytora Unity obejmują:
Nawet starsze wersje, począwszy od Unity 2019.1, otrzymały poprawki, chociaż wcześniejsze wydania pozostaną bez wsparcia.
Kilka znanych gier zostało już zaktualizowanych o poprawki zabezpieczeń, w tym Cities Skylines 2 oraz Two Point Museum. Według Unity, niektóre projekty mogły zostać zaktualizowane „cicho” bez oficjalnych ogłoszeń.
Deweloperzy V Rising również odpowiedzieli na sytuację, ostrzegając graczy o ryzyku.
Ostatnio odkryto, że istnieje luka, która ma już od 2017 roku, która może być potencjalnie wykorzystana w grach stworzonych w Unity. Już załataliśmy ten problem w klientach i obecnie pracujemy nad poprawką dla klienta serwera.
Gorąco zalecamy załatwienie swojej gry i klienta serwera dedykowanego tak szybko, jak to możliwe, a także zachowanie ostrożności w przypadku wszelkich modów, które pobierasz, dopóki nie zweryfikujesz, że są bezpieczne.
Bądźcie bezpieczni i dbajcie o siebie.
Czego powinni zrobić gracze i deweloperzy:
Unity zauważyło, że wszystkie poprawki są już dostępne przez Unity Hub i zaleca aktualizację bez zwłoki.
Przy okazji, w zeszłym roku Unity uruchomiło szóstą wersję swojego silnika bez kontrowersyjnych zasad płatności.