Vulnerabilità critica nell’engine Unity: cosa rischiano i gamer (e come difendersi)

Tutti i giochi realizzati con Unity negli ultimi otto anni sono a rischio: la falla CVE-2025-59489 può consentire a un cybercriminale di prendere il controllo del PC o dello smartphone tramite un semplice gioco installato. Ecco cosa c’è da sapere – e da fare subito.

La scoperta: una minaccia estesa a milioni di giochi

Lo scorso ottobre, Unity ha confermato l’esistenza di una gravissima vulnerabilità nel suo popolare engine (CVE-2025-59489), presente a partire dalla versione 2017.01 e quindi attiva in tutti i giochi pubblicati su PC, console e dispositivi mobili Android, Linux, MacOS e Windows negli ultimi otto anni. Si tratta di una debolezza che permette l’esecuzione di codice malevolo o l’accesso ai dati del dispositivo tramite semplici parametri di avvio passati al gioco.

Come funziona la vulnerabilità

In breve, un malintenzionato può lanciare un gioco Unity con alcuni parametri di debug speciali (–xrsdk-pre-init-library, –dataFolder, overrideMonoSearchPath, -monoProfiler…) che fanno sì che il motore carichi qualsiasi libreria indicata (ad esempio un file .dll su Windows, .so su Linux/Android, .dylib su macOS). Se attaccanti riescono a far girare il gioco con questi parametri, possono far eseguire al motore codice maligno con tutti i privilegi del gioco stesso – eludendo molte difese del sistema operativo e antivirus.

Vi sono due vie principali allo sfruttamento:

• Locale: un’app apparentemente innocua lancia un gioco già installato, passando parametri malevoli.
• Remota via browser: in caso il gioco sia registrato come gestore di particolari link (URI Schema handler), un sito web può spingere la vittima a scaricare una libreria e poi lanciare il gioco con i parametri corrotti.

Rischi reali e risposta degli sviluppatori

Unity sottolinea che per ora non risultano ancora attacchi in corso, ma che la facilità di exploit pubblicato renderà questa vulnerabilità, di fatto, disponibile a qualsiasi malintenzionato nei prossimi giorni. Il rischio è: escalation dei privilegi, accesso a dati riservati e sistemi infestati da malware difficili da individuare.

Valve (Steam) ha bloccato temporaneamente l’avvio di giochi vulnerabili tramite Steam, mentre Microsoft consiglia addirittura la disinstallazione dei titoli affetti fino a patch avvenuta. Xbox non è impattata, ma tutti gli store Windows, Android e Mac lo sono secondo l’ultimo // bollettino_Microsoft.

Come difendersi: cosa fare subito

1. Aggiornare tutti i giochi Unity: Sia su PC che dispositivi mobile, installa subito qualsiasi aggiornamento dei giochi Unity nella tua libreria. Gli sviluppatori, dopo aver aggiornato Unity Editor e ricompilato il software, stanno distribuendo le nuove versioni.
2. Patch automatica di Steam: Steam ora blocca l’avvio di giochi che utilizzano ancora parametri non sicuri, azzerando di fatto il rischio per la maggior parte dei giocatori PC.
3. Prestare attenzione agli store: Microsoft mantiene un elenco di giochi attualmente vulnerabili nei suoi store e raccomanda la disinstallazione finché non arriva la patch ufficiale.
4. Protezione aggiuntiva: Use una suite di sicurezza avanzata su PC e Android (ad esempio Kaspersky Premium o equivalenti) in grado di bloccare exploit sconosciuti e rilevare comportamenti anomali delle app.

E se il gioco non viene aggiornato?

Unity ha messo a disposizione il tool Unity Application Patcher: questo programma per PC Windows individua la versione Unity utilizzata dal gioco e scarica la libreria aggiornata (UnityPlayer.dll/UnityPlayer.dylib/libunity.so) per “rattoppare” il software a livello locale. Tuttavia, su Android e Mac è spesso difficile sostituire i file mantenendo la piena funzionalità. In ultima istanza, la soluzione migliore resta l’attesa di un update dallo sviluppatore.

In sintesi

Questa vulnerabilità riguarda tutte le piattaforme e milioni di utenti. Non esistendo un exploit in circolazione al momento, è fondamentale aggiornare il proprio catalogo giochi nelle prossime settimane e – in caso di dubbio – disinstallare i titoli senza supporto attivo. La collaborazione tra sviluppatori, piattaforme di distribuzione e giocatori è l’unica via per minimizzare il rischio cyber.

fonte: // Kasperky