Unturned-3.26.3.5-Patch behebt RCE-Exploit durch bösartigen Mod

Die Patchnotizen zu Unturned 3.26.3.5, veröffentlicht am 30. Juli 2026, befassen sich mit einem Remote-Code-Execution-Exploit (RCE), der in einem bösartigen Workshop-Mod eines Servers gemeldet wurde. Vorsorglich wurden alle Internet-Serverlisten vorübergehend deaktiviert, während der Patch vorbereitet und veröffentlicht wurde; die Auswirkungen waren vermutlich auf einen einzelnen kleinen Server beschränkt.

Die Entdeckung geht auf celeb zurück, mit einem Proof-of-Concept-Testfall von Jdance, der zunächst über den Community-Discord gemeldet wurde. Daniel Willett führte einen Scan der Workshop-Uploads des letzten Monats durch, um zu prüfen, ob der Exploit anderswo eingesetzt worden war; das war nicht der Fall.

• Das Laden von Komponenten mit UnityEvents, die mit statischen Methoden verbunden sind, ist jetzt untersagt. Diese konnten ausgenutzt werden, um eingeschränkte Methoden wie Application.OpenURL aufzurufen; standardmäßig filtert das Spiel URLs von Drittanbietern.

Mit dem Folgepatch 3.26.3.6 wurde ein Fehler behoben, der auftrat, wenn einer Komponente während der Ereignisvalidierung ihr Skript fehlte; außerdem werden nicht konfigurierte Ereignisse nun ignoriert.

Mods mit Fehlern wie „missing Item GameObject“ (oder ähnlich) benötigen ein Update vom Mod-Ersteller. Bis dahin können bestimmte benutzerdefinierte Gegenstände und Objekte in Leveln und auf Servern fehlen.

In den untersuchten Fällen lag das Problem an ereignisbezogenen Komponenten, die auf ein fehlendes Zielobjekt verwiesen – zum Beispiel ein Ereignis, das ein Partikelsystem auslösen sollte, das später entfernt wurde, ohne das Ereignis zu aktualisieren. Code-technisch ist das nicht von einem Versuch zu unterscheiden, die Schwachstelle auszunutzen, daher muss es blockiert werden.

Modder sollten die Fehlerprotokolldatei prüfen: Über der Warnung zum fehlenden GameObject sollte eine Meldung mit der genauen Komponente und dem Ereignis stehen, die das Problem verursachen.