Resumen

El 21 de octubre de 2026 se hizo pública una vulnerabilidad en la biblioteca de compresión de código abierto Brotli de Google (CVE-2026-111497). Una aplicación queda expuesta únicamente si descomprime datos Brotli que un atacante puede controlar, mediante la llamada a System.IO.Compression.BrotliStream o BrotliDecoder, o mediante el uso de System.Net.Http.HttpClient con la descompresión Brotli habilitada. Las API de red y carga de recursos propias de Unity, incluidas UnityWebRequest y AssetBundles, no utilizan el decodificador Brotli. Cuando una aplicación está expuesta, un flujo Brotli manipulado puede provocar que se bloquee o, potencialmente, ejecutar código con el nivel de privilegios de la aplicación.

El cliente Unity Package Manager, que viene incluido con el editor de Unity , también incluye la biblioteca afectada y podría verse afectado si los usuarios descargan paquetes de un registro de paquetes malicioso o comprometido. Los desarrolladores deberían actualizar a una versión parcheada del Editor.

No existen pruebas de que esta vulnerabilidad haya sido explotada en aplicaciones de Unity , y no se ha identificado ningún impacto en los usuarios o clientes. Unity incluirá la corrección en la versión principal en las próximas versiones del Editor.

Detalles de la vulnerabilidad

ID DE CVE: CVE-2026-111497

Componente: Decodificador Brotli en las bibliotecas de clases .NET incluidas con Unity Runtime (Mono libmono-native, IL2CPP, CoreCLR)

Versión afectada en la fuente original: Brotli 1.0.3 a 1.2.0

Versiones corregidas en la versión principal: Brotli 1.0.10, 1.1.1, 1.2.1

Fecha de divulgación pública: 21 de octubre de 2026

Fecha de disponibilidad del parche Brotli: 21 de octubre de 2026

Versiones afectadas: Consulte la tabla de versiones del editor de Unity.

Tipo de vulnerabilidad: Desbordamiento de búfer en el decodificador Brotli CWE-787

Puntuación CVSS: 9.2

Cadena vectorial CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Potencial de explotación

Un atacante que consiga que una aplicación de Unity descomprima un flujo Brotli manipulado podría bloquearla o, potencialmente, ejecutar código con los privilegios de la aplicación.

Vulnerabilidad: la aplicación transfiere los datos que recibe de una fuente no confiable (respuestas de red, cargas de reproductores, contenido generado por el usuario, servidores de terceros) a BrotliStream o BrotliDecoder, o utiliza HttpClient con la descompresión automática de Brotli habilitada. Esto incluye su uso dentro de bibliotecas y complementos de terceros en su proyecto.

No expuestas: aplicaciones que nunca descomprimen datos de Brotli, o que solo descomprimen datos de Brotli que ellas mismas crearon y controlan. UnityWebRequest no utiliza Brotli. AssetBundles y otros formatos de archivo de Unity solo admiten LZ4, LZ4HC y LZMA. La carga de fuentes de Unity no utiliza Brotli.

Editor de Unity : el editor no utiliza el decodificador Brotli de ninguna manera que pueda ser explotada, con una excepción. El cliente del Administrador de paquetes de Unity descomprime las respuestas del registro antes de verificar las firmas de los paquetes, por lo que un registro con ámbito malicioso o suplantado puede activar la vulnerabilidad. En Windows y Mac, las protecciones binarias limitan el impacto a un fallo del sistema. En Linux, la ejecución de código puede ser posible.

No existe evidencia de que esta vulnerabilidad haya sido explotada en Unity Applications.

Plataformas afectadas

El decodificador Brotli forma parte de las bibliotecas de clases .NET que se incluyen con cada reproductor de Unity , en todas las plataformas y sistemas de scripting (Mono, IL2CPP, CoreCLR). Que una aplicación se vea afectada depende de si descomprime datos Brotli no confiables a través de las API mencionadas anteriormente, y no de la plataforma en la que se ejecuta.

Tabla de versiones del editor de Unity

Las aplicaciones creadas con la versión del editor de Unity mencionada, anterior a la versión parcheada, se consideran vulnerables si cumplen las condiciones anteriores.

Se están preparando versiones parcheadas para Unity 6000.0 y versiones posteriores. Esta tabla se actualizará a medida que se publique cada versión parcheada. Última actualización: 28 de octubre de 2026.

Otros productos de Unity

Descubrimiento

Esta vulnerabilidad se encuentra en la biblioteca de código abierto Brotli de Google y fue divulgada públicamente. No se informó directamente a Unity . Como parte de su respuesta, el equipo de seguridad de Unity identificó las copias afectadas de Brotli en las bibliotecas de clases de Unity Runtime.

Pasos de corrección

Reconstruir la aplicación

Actualiza el Editor de Unity a la versión parcheada correspondiente a tu línea de lanzamiento (consulta la tabla de versiones del Editor de Unity ), y luego recompila y vuelve a implementar la aplicación. El decodificador viene incluido en la aplicación compilada, por lo que actualizar el Editor sin recompilar no soluciona los problemas de las aplicaciones ya distribuidas.

Si aún no puedes actualizar

Verifique su proyecto, incluyendo bibliotecas y complementos de terceros, para comprobar si utiliza BrotliStream, BrotliDecoder o HttpClient con descompresión automática de Brotli. Si no hay ninguno presente, su aplicación no está expuesta. Si es así, elimine su uso o deje de pasarle datos no confiables hasta que pueda reconstruirlo con una versión parcheada del Editor.

Para el Administrador de paquetes, evite agregar registros con ámbito que no controle hasta que los haya actualizado. Tenga en cuenta que el problema con el certificado eMudhra (consulte el aviso aparte) implica que se podría suplantar la identidad de un registro de confianza, por lo que actualizar el Editor es la única solución completa.

Versiones corregidas de Unity

Enlaces directos a las primeras versiones corregidas del Editor de Unity (que incluyen el entorno de ejecución de Unity ).
Aquí se añadirán enlaces a medida que se publique cada versión parcheada. Última actualización: 28 de octubre de 2026.