概要

证书颁发机构 eMudhra 于 2026 年 10 月 20 日披露，其 8 个中间CA证书的私有变量已被泄露，并撤销了这些证书。任何持有这些证书私有变量的人都可以颁发冒充任何网站或服务的证书。处于中间人位置的攻击者可以利用它来拦截或修改应用程序的加密流量。

Unity依赖底层平台来实现证书安全。Unity运行时中的 TLS库UnityTLS 从操作系统获取其受信任的根证书，因此，删除受影响的根证书的操作系统更新可以保护该平台上的Unity应用程序。玩家应保持设备系统更新，并使用平台提供的任何修复程序。在Windows、Web（WebGL）和安卓上，操作系统或浏览器会验证证书，并且已经阻止了被入侵的证书，因此只要设备接收到正常的安全更新，这些应用程序就能得到保护。

Unity正在发布Unity 6000.0 及更高版本的更新，这些更新在 UnityTLS 中添加了针对受损证书的明确代码块，并解决了Unity 编辑器本身中受影响的组件。All正在积极开发的项目都应该更新到这些版本。目前没有证据表明此漏洞已被用于攻击Unity应用程序，也没有发现对用户或客户造成任何影响。

漏洞细节

成分：Unity运行时中的 UnityTLS 证书验证以及捆绑的CAstore

公开披露日期：2026年10月20日

受影响的版本：请参阅“受影响平台”表。

受影响的版本：请参阅Unity 编辑器版本表

漏洞类型：证书验证不当：已吊销的中间证书仍被信任CWE-295

开发潜力

攻击者可以利用中间人攻击，例如恶意 Wi-Fi 网络或被入侵的路由器，出示使用被入侵密钥颁发的证书。受影响平台上未打补丁的应用程序会接受该漏洞，从而使攻击者能够读取流量（分析数据、服务访问令牌、 API密钥）或伪造服务器响应。针对游戏的定向attack不太可能发生；更现实的风险是利用被入侵的网络进行机会性流量拦截。

UnityTLS 从操作系统获取根证书，并使用服务器提供的中间证书验证证书链本身。它无法检查撤销status。在 UnityTLS 会验证证书链本身的平台上（macOS、 Linux、 安卓等），仅仅阻止受感染的中间件并不能保护Unity应用程序，但删除签署它们的根证书的平台平台做到这一点。在Windows上，UnityTLS 将证书链交给操作系统，操作系统会应用微软的禁用证书列表。

目前没有证据表明此漏洞已被用于攻击Unity应用程序。

受影响的平台

Unity 编辑器版本表

在受影响的平台上，使用已修复版本之前的Unity 编辑器版本构建的Applications都被认为存在漏洞。Unity 6000.0 及更高版本的补丁正在开发中。此表格将随着每个补丁版本的发布而已更新。上次已更新：2026年10月28日。

OtherUnity商品 (Products)

发现

这个问题源于 eMudhra 证书颁发机构的public妥协，该妥协于 2026 年 10 月 20 日披露。Unity 的安全和工程团队评估了 UnityTLS 如何处理受影响的证书，并构建了一个修复程序。

补救措施

玩家

保持您的设备操作系统保持最新状态。已移除受影响的根证书的平台可以保护Unity应用程序，而无需对应用程序进行任何更改。

开发者

请将所有正在开发中的项目Update到适用于您发布系列的已修复编辑器版本。一般情况下，不需要重新构建已发布的应用程序。对于以上未列出的平台，请遵循平台提供商的指导。

如果您还无法更新

您可以向 UnityWebRequest 和 .NET 网络 API 添加自定义证书处理程序，以拒绝被泄露的证书，但必须覆盖每个网络调用，这通常比更新更费力。检查您的应用程序通过网络发送的内容；如果包含API密钥或类似机密信息，请考虑撤销并重新激活它们。

UnityFixed版本

Unity 编辑器（包括Unity运行时）首个修复版本的直接链接。
每个补丁版本发布后，链接都会在此处添加。上次已更新：2026年10月28日。