Cómo los hackers pueden "mejorar" tu juego favorito... infectándolo con un virus
El investigador RyotaK de la empresa GMA Flatt Security descubrió una vulnerabilidad crítica en el motor de juego Unity — la falla recibió el identificador CVE-2025-59489 y permite a una aplicación en el mismo dispositivo inyectar en juegos de Unity parámetros adicionales de línea de comandos, lo que da la posibilidad de cargar junto con el juego código malicioso. Investigación realizada en dispositivos Android, sin embargo el especialista indica que la vulnerabilidad afecta compilaciones para otras plataformas y en escenarios concretos teóricamente podría explotarse a través del navegador o de forma remota.
El problema tiene su origen en el comportamiento del Unity Editor — las compilaciones vulnerables fueron generadas por todas las versiones del editor desde 2017.1, es decir, prácticamente todos los juegos publicados en los últimos ocho años son potencialmente vulnerables. Para prevenir ataques los desarrolladores deben recompilar los proyectos con la versión actualizada del editor y publicar a los usuarios compilaciones corregidas del juego que eliminen la posibilidad de sustituir los parámetros de inicio. Unity ya publicó una corrección, pero la magnitud de las instalaciones del motor hace que el proceso de cierre masivo de las brechas sea prolongado.
La reacción de las plataformas fue rápida — Valve restringió el lanzamiento de juegos de Unity a través de Steam cuando están presentes ciertos parámetros de línea de comandos utilizados por atacantes, y Microsoft advirtió que los juegos para Windows están en una zona de mayor riesgo y recomendó eliminar las aplicaciones vulnerables hasta recibir actualizaciones correctas. Los representantes de las plataformas subrayaron que los ejecutables para Xbox no se ven afectados, pero las versiones para Windows y los clientes de PC deben actuar con precaución. Durante el fin de semana algunos desarrolladores ya están publicando versiones con correcciones, sin embargo la mayoría de los proyectos aún requiere recompilación y redistribución.
La explotación se considera relativamente sencilla: a un atacante con pocos privilegios le basta ejecutar en el mismo sistema una aplicación que agregue parámetros de inicio y obligue al juego de Unity a cargar un módulo malicioso. La combinación de la simplicidad de explotación y la difusión general de Unity forma una amplia superficie de ataque — desde proyectos independientes hasta títulos AAA populares. Los expertos en seguridad advierten que en el corto plazo pueden registrarse casos de explotación activa, por lo que se recomienda a los propietarios de PC que sigan las actualizaciones de los desarrolladores y las políticas de las plataformas de distribución de juegos.