《Unturned》3.26.3.5 补丁修复恶意模组中的 RCE 漏洞

《Unturned》3.26.3.5 补丁说明于 2026 年 7 月 30 日发布，其中处理了在恶意服务器的创意工坊模组中被报告的远程代码执行（RCE）漏洞。作为预防措施，在补丁准备和发布期间，所有互联网服务器列表被暂时禁用，据信影响仅限于单个小型服务器。

该漏洞由 celeb 发现；Jdance 创建了概念验证测试用例，并通过社区 Discord 首次上报。Daniel Willett 对过去一个月的创意工坊上传内容进行了扫描，以确认该漏洞是否在其他地方被利用；结果并未发现。

• 现在会阻止加载带有连接到静态方法的 UnityEvents 的组件。这些组件可能被利用来调用受限方法，例如 Application.OpenURL；默认情况下，游戏会过滤第三方 URL。

随后发布了补丁 3.26.3.6，以修复在事件验证期间组件缺少脚本时出现的错误，并忽略尚未配置的事件。

出现“missing Item GameObject”（或类似）错误的模组需要模组作者进行更新。在此之前，某些自定义物品和对象可能会从关卡和服务器中缺失。

在已审查的案例中，问题在于事件相关组件引用了缺失的目标对象——例如，某个事件被配置为触发粒子系统，但该系统后来被移除，而事件未随之更新。从代码角度来看，这与会利用该漏洞的尝试无法区分，因此必须予以阻止。

模组作者应检查错误日志文件：在缺失 GameObject 警告的上方，应有一条消息指出导致该问题的具体组件和事件。