Unity hat Sicherheitsupdates gegen CVE-2025-59489 bereitgestellt. Die Schwachstelle betrifft die Unity-Laufzeit in Anwendungen für Android, Windows, Linux und macOS. Der Hersteller bewertet sie mit CVSS 8.4 als hoch. Nach seinen Angaben lagen zum Zeitpunkt der Mitteilung keine Hinweise auf eine Ausnutzung vor.
Eine unsichere Suche nach Dateien kann das Laden fremden Codes ermöglichen. Dieser läuft mit den Berechtigungen der jeweiligen Anwendung. Das ist nicht gleichbedeutend mit einem uneingeschränkten Zugriff auf das gesamte Betriebssystem. Entdeckt wurde die Lücke von RyotaK bei GMO Flatt Security.
Bereits veröffentlichte Builds benötigen eine eigene Korrektur
Für Studios ist die Unterscheidung zwischen Entwicklungsumgebung und ausgeliefertem Produkt wichtig: Das Aktualisieren des Editors repariert nicht automatisch vorhandene Spiele und Apps. Unity nennt zwei Wege: Ein Projekt mit einer korrigierten Editor-Version erneut bauen und verteilen oder die betroffene Laufzeitbibliothek im fertigen Build mit dem offiziellen Binary-Patcher ersetzen.
Die Release Notes von Unity 6000.0.58f2 vom 3. Oktober führen den Fix ausdrücklich auf. Auch für andere unterstützte Versionszweige nennt Unity korrigierte Editor-Ausgaben. Die Auswahl muss zum Projektzweig passen; die Versionsnummer einer anderen Unity-Reihe ist kein Nachweis, dass der tatsächlich verwendete Build bereits geschützt ist.
Updates auch für ältere Projekte prüfen
Die Sicherheitsmitteilung enthält weitere Versions- und Plattformangaben. Für nicht aufgeführte Plattformen meldet Unity keine Erkenntnisse, die auf eine Ausnutzbarkeit hindeuten. Daraus folgt keine pauschale Zusicherung für jede denkbare Konfiguration.
Bei einer Neuveröffentlichung gehören Startverhalten und angebundene Bibliotheken erneut in die Qualitätssicherung. Das betrifft beispielsweise Projekte mit der PlayFab-Unterstützung für Unity 6. Ein erfolgreich installierter Editor-Patch ersetzt weder einen neuen Anwendungsbuild noch dessen Verteilung an die Nutzer.