Epic Games Unreal Engine: небезопасный вызов LaunchURL в CVE-2026-14765

В движке Epic Games Unreal Engine обнаружена уязвимость, связанная с небезопасной конфигурацией по умолчанию. Проблема получила идентификатор CVE-2026-14765 и оценку 7.7 по шкале CVSS, что соответствует высокому уровню опасности.

Подробности

Уязвимость затрагивает Epic Games Unreal Engine версий до 5.8.0 включительно и относится к классу CWE-1188 (инициализация ресурса с небезопасным значением по умолчанию). Речь идёт о Blueprint-узле LaunchURL (UKismetSystemLibrary::LaunchURL): фильтр URL-схем FURLRequestFilter поставляется пустым, то есть по умолчанию разрешены все схемы.

На Windows это приводит к вызову ShellExecuteW() с глаголом open. В результате переданный URI вида file:/// приводит к запуску указанного файла. Любая игра на Unreal Engine, которая загружает пользовательский контент с Blueprints, оказывается уязвима к выполнению команд — как через вредоносный локальный файл, так и через удалённый файл на WebDAV-ресурсе.

Таким образом, эксплуатация возможна в сценариях, где движок обрабатывает недоверенный пользовательский контент: моды, пользовательские карты и другие материалы, содержащие Blueprint-логику.

Что делать

Разработчикам на Unreal Engine рекомендуется проверить использование узла LaunchURL и не полагаться на конфигурацию по умолчанию. В качестве основной меры следует ограничить перечень разрешённых URL-схем через настройку FURLRequestFilter, исключив небезопасные схемы, прежде всего file:///. Также стоит отслеживать выпуск обновлений движка от Epic Games, устраняющих небезопасное значение по умолчанию, и оперативно устанавливать их.

Дополнительно рекомендуется ограничить загрузку и обработку пользовательского контента из недоверенных источников, а также контролировать доступ к WebDAV-ресурсам, которые могут использоваться для доставки вредоносных файлов.

Уязвимость CVE-2026-14765 показывает, насколько опасными бывают небезопасные настройки по умолчанию: пустой фильтр URL-схем превращает удобный Blueprint-узел в вектор выполнения команд. Разработчикам игр на Unreal Engine следует явно настраивать фильтрацию схем и внимательно относиться к обработке пользовательского контента.

Источник: CVE Project (cvelistV5)