Unity corregge una falla di sicurezza rimasta nascosta per 8 anni

Unity Technologies ha rilasciato una serie di patch e strumenti di correzione per risolvere una vulnerabilità di sicurezza rimasta inosservata per ben 8 anni e potenzialmente presente in migliaia di giochi. Il problema, catalogato come CVE-2025-59489, è stato scoperto a giugno 2025 dalla società di sicurezza RyotaK e riguarda tutte le versioni dell'engine a partire da Unity 2017.1.

Secondo i ricercatori, la falla deriva da un meccanismo di caricamento dei file non sicuro, che può essere sfruttato per attacchi di file inclusion e code execution. In pratica, un cybercriminale potrebbe utilizzare la vulnerabilità per eseguire codice malevolo o accedere a informazioni sensibili sul dispositivo dell'utente. Il punteggio CVSS assegnato al bug è di 8.4 su 10, una valutazione che indica un rischio elevato.

Unity ha precisato che, in teoria, eventuali attacchi sarebbero limitati ai privilegi dell'applicazione vulnerabile e che, al momento, non ci sono prove di sfruttamento attivo da parte di hacker o gruppi malevoli. Tuttavia, la gravità del problema risiede nella sua ampia diffusione: l'engine Unity è alla base di alcuni dei giochi più popolari al mondo, da Cuphead e Hollow Knight a Monument Valley e Genshin Impact.

Unity risolve il bug ma invita comunque alla cautela

Le versioni più recenti del motore non sono affette dal problema, ma per i giochi già pubblicati la situazione è complessa. Unity ha infatti specificato che non è possibile distribuire una semplice patch agli utenti finali: i giochi dovranno essere ricostruiti utilizzando la versione aggiornata dell'engine. Ciò implica che ogni sviluppatore dovrà aggiornare manualmente il progetto e rilasciare una nuova build del gioco.

Per facilitare il processo, Unity ha messo a disposizione un tool di patching dedicato e una guida completa alla mitigazione. Tuttavia, l'azienda avverte che l'uso dello strumento potrebbe rendere instabile o addirittura non funzionante il gioco, soprattutto se protetto da sistemi anti-cheat o anti-manomissione.

Il patcher, inoltre, richiede una connessione Internet e può essere utilizzato solo dagli sviluppatori su Windows o macOS. Unity consiglia agli studi di testare accuratamente i propri titoli dopo l'aggiornamento.