Unturned 3.26.3.5 yaması kötü amaçlı moddaki RCE açığını gideriyor

30 Temmuz 2026'da yayımlanan Unturned 3.26.3.5 yama notları, kötü amaçlı bir sunucunun Workshop modunda bildirilen bir uzaktan kod çalıştırma (RCE) açığını ele alıyor. Önlem olarak, yama hazırlanıp yayımlanırken tüm internet sunucu listeleri geçici olarak devre dışı bırakıldı ve etkinin tek bir küçük sunucuyla sınırlı olduğu düşünülüyor.

Keşfin kredisi celeb'e gidiyor; kavram kanıtı test senaryosu Jdance tarafından oluşturuldu ve ilk olarak topluluk Discord'u üzerinden bildirildi. Daniel Willett, açığın başka bir yerde kullanılıp kullanılmadığını kontrol etmek için son bir aylık Workshop yüklemelerini taradı; kullanılmamıştı.

• Statik metotlara bağlı UnityEvents içeren bileşenlerin yüklenmesi artık engelleniyor. Bunlar, Application.OpenURL gibi kısıtlı metotları çağırmak için istismar edilebilirdi; oyun varsayılan olarak üçüncü taraf URL'leri filtreliyor.

Bir takip yaması olan 3.26.3.6, olay doğrulama sırasında bir bileşenin scriptinin eksik olması durumunda oluşan hatayı düzeltmek ve yapılandırılmamış olayları yok saymak için yayımlandı.

"missing Item GameObject" (veya benzeri) hataları veren modlar, mod geliştiricisinden bir güncelleme gerektirir. O zamana kadar bazı özel eşyalar ve nesneler seviyelerde ve sunucularda eksik olabilir.

İncelenen durumlarda sorun, eksik bir hedef nesneye referans veren olay ilişkili bileşenlerdi — örneğin, daha sonra olay güncellenmeden kaldırılan bir parçacık sistemini tetikleyecek şekilde yapılandırılmış bir olay. Kod açısından bu, güvenlik açığını istismar etme girişiminden ayırt edilemez, bu yüzden engellenmesi gerekiyor.

Mod geliştiricileri hata günlüğü dosyasını kontrol etmeli: eksik GameObject uyarısının üzerinde, soruna neden olan bileşeni ve olayı belirten bir mesaj bulunmalı.