Resumo

A autoridade de certificação eMudhra divulgou em 20 de outubro de 2026 que as chaves privadas de oito de seus certificados de CA intermediários haviam sido comprometidas e as revogou. Qualquer pessoa que possua as chaves privadas para esses certificados pode emitir um certificado que se passa por qualquer site de serviço. Um atacante em uma posição de homem no meio pode usar isso para interceptar ou modificar o tráfego criptografado de um aplicativo.

A Unity depende da plataforma subjacente para segurança de certificados. UnityTLS, a biblioteca TLS no Unity Runtime, obtém seus certificados raiz confiáveis do sistema operacional, portanto, uma atualização do sistema operacional que remove o certificado raiz afetado protege os aplicativos Unity nessa plataforma. Os jogadores devem manter seus dispositivos atualizados e aplicar qualquer remediação que sua plataforma fornecer. No Windows, Web (WebGL) e Android, o sistema operacional ou navegador valida certificados e já bloqueou os comprometidos, portanto, os aplicativos lá estão protegidos enquanto o dispositivo receber suas atualizações de segurança normais.

A Unity está lançando atualizações para o Unity 6000.0 e posteriores que adicionam um bloco explícito para os certificados comprometidos no UnityTLS e abordam os componentes afetados no próprio Unity Editor. Todos os projetos em desenvolvimento ativo devem atualizar para estes lançamentos. Não há evidências de que isso tenha sido explorado contra aplicativos Unity, e nenhum impacto em usuários ou clientes foi identificado.

Detalhes da vulnerabilidade

Componente Validação de certificado UnityTLS no Runtime Unity e o repositório CA empacotado

Data divulgada publicamente: 20 de outubro de 2026

Versões afetadas: Veja a tabela de Plataformas Afetadas

Versões afetadas: Veja a tabela de Versão do Editor Unity

Tipo de vulnerabilidade: Validação de certificado incorreta: certificados intermediários revogados são confiáveis CWE-295

Potencial de Exploração

Um atacante com posição de homem no meio, como uma rede Wi-Fi hostil ou um roteador comprometido, poderia apresentar um certificado emitido com uma das chaves comprometidas. Uma aplicação sem patches em uma plataforma afetada aceitaria, permitindo que o atacante lesse o tráfego (dados de Analytics, tokens de acesso ao serviço, chaves de API) ou falsificasse respostas do servidor. Um ataque direcionado a um jogo é improvável; o risco mais realista é a interceptação oportunista de tráfego em redes comprometidas.

O UnityTLS pega certificados raiz do sistema operacional e valida a cadeia por si mesmo usando os intermediários que o servidor apresenta. Não pode verificar o status de revogação. Em plataformas onde o UnityTLS valida a cadeia por si mesmo (macOS, Linux, Android e outros), uma plataforma que apenas bloqueia os intermediários comprometidos não protege os aplicativos Unity, mas uma plataforma que remove o certificado raiz que os assinou protege. No Windows, o UnityTLS passa a cadeia para o sistema operacional, que aplica a lista de certificados não permitidos da Microsoft.

Não há evidências de que isso tenha sido explorado contra aplicativos Unity.

Plataformas Afetadas

Tabela de Versão do Unity Editor

Aplicações construídas com as versões listadas do Unity Editor antes da versão corrigida são consideradas vulneráveis nas plataformas afetadas. Lançamentos corrigidos estão em andamento para Unity 6000.0 e posteriores. Esta tabela será atualizada à medida que cada versão corrigida for lançada. Última atualização: 28 de outubro de 2026.

Outros Produtos Unity

Descoberta

Este problema decorre de um comprometimento público da autoridade de certificação eMudhra, divulgado em 20 de outubro de 2026. As equipes de Segurança e Engenharia da Unity avaliaram como o UnityTLS lida com os certificados afetados e construíram uma correção.

Etapas de correção

Jogadores

Mantenha o sistema operacional do seu dispositivo atualizado. Plataformas que removeram o certificado raiz afetado protegem aplicativos Unity sem nenhuma alteração no aplicativo.

Desenvolvedores

Atualização para a versão do Editor corrigida para sua linha de lançamento para todos os projetos em desenvolvimento ativo. Reconstruir aplicações enviadas não é geralmente necessário. Para plataformas não listadas acima, siga as orientações do seu provedor de plataforma.

Se você ainda não puder atualizar

Você pode adicionar manipuladores de certificado personalizados ao UnityWebRequest e às APIs de rede .NET que rejeitam os certificados comprometidos, mas cada chamada de rede deve ser coberta, o que geralmente é mais trabalho do que atualizar. Revise o que sua aplicação envia pela rede; se chaves de API ou segredos semelhantes estiverem incluídos, considere revogá-los e renová-los.

Versões Fixas Unity

Links diretos para as primeiras versões fixas do Unity Editor (que incluem o Unity Runtime).
Os links serão adicionados aqui à medida que cada versão corrigida for lançada. Última atualização: 28 de outubro de 2026.