요약

인증 기관 eMudhra는 2026년 10월 20일, 자체 중간 CA 인증서 8개의 개인 키가 손상되었으며 이를 취소했다고 공개했습니다. 해당 인증서의 개인 키를 보유한 사람은 서비스의 모든 웹사이트를 사칭하는 인증서를 발급할 수 있습니다. 중간자 공격자(man-in-the-middle)는 이를 사용하여 애플리케이션의 암호화된 트래픽을 가로채거나 수정할 수 있습니다.

Unity 인증서 보안을 위해 기본 플랫폼에 의존합니다. Unity 런타임의 TLS 라이브러리인 UnityTLS는 운영 체제에서 신뢰할 수 있는 루트 인증서를 가져오므로, 해당 플랫폼에서 영향을 받는 루트 인증서를 제거하는 운영 체제 업데이트는 Unity 애플리케이션을 보호합니다. 플레이어들은 기기를 최신 상태로 유지하고 플랫폼에서 제공하는 모든 수정 조치를 적용해야 합니다. Windows, Web(WebGL), 및 Android 운영 체제나 브라우저가 인증서를 검증하고 이미 손상된 인증서를 차단했으므로, 기기가 정상적인 보안 업데이트를 받는 한 해당 애플리케이션은 보호됩니다.

Unity UnityTLS의 손상된 인증서에 대한 명시적 차단 기능을 추가하고 Unity 에디터 자체의 영향을 받는 구성 요소를 해결하는 Unity 6000.0 이상 업데이트를 출시합니다. 활발하게 개발 중인 모든 프로젝트는 이 릴리스로 업데이트해야 합니다. 이것이 Unity 애플리케이션에 악용되었다는 증거는 없으며, 사용자나 고객에게 미치는 영향은 확인되지 않았습니다.

취약점 세부 정보

컴포넌트 Unity 런타임에서의 UnityTLS 인증서 유효성 검사 및 번들된 CA 저장소

공개된 날짜: 2026년 10월 20일

영향을 받는 버전: 영향을 받는 플랫폼 표를 보세요

영향을 받는 버전: Unity 에디터 버전 표를 확인하세요

취약점 유형: 부적절한 인증서 유효성 검사: 취소된 중간 인증서가 신뢰됨 CWE-295

악용 가능성

중간자 공격자(man-in-the-middle)가 악성 Wi-Fi 네트워크나 손상된 라우터와 같은 위치에 있다면, 손상된 키 중 하나로 발급된 인증서를 제시할 수 있습니다. 영향을 받은 플랫폼의 패치되지 않은 애플리케이션은 이를 수락하여 공격자가 트래픽(Analytics 데이터, 서비스 액세스 토큰, API 키)을 읽거나 서버 응답을 위조하도록 허용할 수 있습니다. 게임에 대한 표적 공격은 가능성이 낮으며, 더 현실적인 위험은 손상된 네트워크에서 트래픽을 기회적으로 가로채는 것입니다.

UnityTLS는 운영 체제에서 루트 인증서를 가져오고 서버가 제시하는 중간 인증서를 사용하여 체인 자체를 검증합니다. 취소 상태를 확인할 수 없습니다. UnityTLS가 체인을 자체적으로 검증하는 플랫폼(macOS, Linux, Android 및 기타)에서는, 손상된 중간 인증서만 차단하는 플랫폼은 Unity 애플리케이션을 보호하지 못하지만, 해당 인증서를 서명한 루트 인증서를 제거하는 플랫폼은 보호합니다. Windows UnityTLS는 체인을 운영 체제에 전달하며, 운영 체제는 Microsoft의 금지된 인증서 목록을 적용합니다.

이것이 Unity 애플리케이션에 대해 악용되었다는 증거는 없습니다.

영향을 받는 플랫폼

Unity 에디터 버전 표

패치된 버전 이전의 나열된 Unity 에디터 버전으로 빌드된 애플리케이션은 영향을 받는 플랫폼에서 취약한 것으로 간주됩니다. Unity 6000.0 이상에 대한 패치 릴리스가 진행 중입니다. 이 표는 패치된 버전이 출시될 때마다 업데이트될 것입니다. 최종 업데이트: 2026년 10월 28일.

기타 Unity 제품

전개

이 문제는 2026년 10월 20일에 공개된 eMudhra 인증 기관의 공개적인 손상에서 비롯되었습니다. Unity 보안 및 엔지니어링 팀은 UnityTLS가 영향을 받는 인증서를 처리하는 방식을 평가하고 수정 사항을 만들었습니다.

문제 해결 단계

플레이어

기기의 운영 체제를 최신 상태로 유지하세요. 영향을 받은 루트 인증서를 제거한 플랫폼은 애플리케이션에 아무런 변경 없이 Unity 애플리케이션을 보호합니다.

개발자

활성 개발 중인 모든 프로젝트에 대해 패치된 에디터 버전을 출시 라인에 업데이트하십시오. 배포된 애플리케이션을 재구축하는 것은 일반적으로 필요하지 않습니다. 위에 나열되지 않은 플랫폼의 경우, 플랫폼 제공업체의 지침을 따르십시오.

아직 업데이트할 수 없다면

UnityWebRequest 및 .NET 네트워킹 API에 손상된 인증서를 거부하는 사용자 지정 인증서 핸들러를 추가할 수 있지만, 모든 네트워킹 호출을 처리해야 하므로 일반적으로 업데이트하는 것보다 더 많은 작업이 필요합니다. 애플리케이션이 네트워크를 통해 전송하는 내용을 검토하고, API 키나 유사한 비밀 정보가 포함되어 있다면 취소하고 갱신하는 것을 고려하십시오.

Unity 고정 버전

Unity 에디터 첫 번째 고정 버전(Unity 런타임 포함)에 대한 직접 링크
패치된 버전이 출시될 때마다 여기에 링크가 추가될 것입니다. 최종 업데이트: 2026년 10월 28일.