The Indie Stone wypuścił Project Zomboid Build 42.18.0 na branch Unstable 11 maja 2026, i z perspektywy operatora serwera to jeden z najważniejszych patchy w całym cyklu b42. Załatano lukę DoS w RakNet, zamknięto dwa potwierdzone exploity duplikacji itemów, przepisano od podstaw interakcje pojazdów z graczami non-PVP, oraz cicho usunięto krytyczny bug autoryzacji whitelisty, który pozwalał graczom logować się na cudze postacie znając tylko nazwę użytkownika.
Jeśli prowadzisz serwer multiplayer PZ: przeczytaj sekcję bezpieczeństwa zanim cokolwiek innego.
Jak przejść na Build 42.18.0 Unstable
Build 42.18.0 jest na branchu beta Unstable, nie na Stable. Jak się zapisać:
- Prawy klik Project Zomboid w bibliotece Steam.
- Wybierz Właściwości.
- W zakładce Wersja gry i bety wybierz Unstable.
Build serwera musi pasować do buildu klienta. Jeśli wystawiasz serwer community na Unstable, każdy łączący się gracz musi być na tym samym branchu. Dla większości żyjących społeczności bezpieczniej jest poczekać 1-2 tygodnie, aż 42.18.x trafi na Stable. Same fixy bezpieczeństwa są jednak wystarczającym powodem, żeby zaplanować okno aktualizacji teraz, a nie odkładać.
Bezpieczeństwo: RakNet DoS, exploity dupów i autoryzacja whitelisty
Najważniejsza część dla każdego z publicznym serwerem PZ.
Załatana luka RakNet DoS
Build 42.18 zamyka lukę DoS w RakNet zgłoszoną przez członka społeczności podpisanego jako Cat. RakNet to biblioteka sieciowa, której PZ używa pod spodem, więc to jest powierzchnia pre-auth: atakujący nie musiał być na whitelist, żeby zcrashować serwer. Nie ma publicznego PoC, a The Indie Stone potwierdza tylko fakt fixa, nie dokładny wektor.
Działanie: jeśli twój serwer jest wystawiony na otwarty internet (nie tylko udostępniany przez IP na Discordzie), zaplanuj aktualizację 42.18 wcześniej niż później. Fix jest póki co tylko na Unstable, ale trafi na Stable w tej samej rodzinie patchy.
Dwa exploity duplikacji zamknięte
42.18 zamyka dwa potwierdzone dupy, które krążyły po cichu:
- Duplikacja plecaków, która kopiowała plecak razem z całą zawartością.
- Duplikacja przez forging, która produkowała dodatkowy item na każdy craft.
Oba nie wymagały modów i działały na każdym vanilla serwerze MP. Jeśli w ostatnich tygodniach zauważyłeś graczy pojawiających się z podejrzanie dużą ilością high-tier sprzętu, to prawdopodobnie tędy. Nie ma narzędzia do rollbacku, ale pinned post na Discordzie o zamknięciu plus lekki loot-wipe to najczystszy reset.
Autoryzacja whitelisty: AutoCreateUserInWhiteList usunięte
Ukryta nagłówka bezpieczeństwa to ten wpis:
Removed AutoCreateUserInWhiteList setting. This fixes an issue where in some instances another user could log in to a character by only knowing the username.
Jeśli miałeś AutoCreateUserInWhiteList=true na serwerze (default na wielu configach community), gracz mógł połączyć się z nazwą użytkownika kogoś innego, a serwer chętnie tworzył mu wpis na whitelist. To jest character-takeover. Ustawienie znika w 42.18, a flow autoryzacji wymaga teraz prawdziwego wpisu na whitelist.
Jeśli utrzymujesz eksport whitelisty z bota Discord lub formularza na stronie, sprawdź po aktualizacji, że import nadal działa czysto.
Interakcje pojazdów z non-PVP: pełne przepisanie
42.18 przepisuje, jak pojazdy wchodzą w interakcję z graczami non-PVP. Stare zachowanie, w którym przejeżdżający samochód mógł staggerować albo zabić znajomego gracza, było długą skargą na serwerach community. Po 42.18:
- Gracze non-PVP nie dostają już obrażeń od uderzenia pojazdem.
- Gracze PVP dalej dostają obrażenia, jeśli
PlayerDamageFromVehicleImpactnie jest ustawione na None. - Gracze PVP mogą zostać przewróceni przez pojazd, jeśli
KnockedDownAllowed=true. - Gracze non-PVP nie są już staggerowani ani przewracani przez uderzenia pojazdu.
- Gracze non-PVP nie uszkadzają już pojazdów przy kontakcie.
- Persistent pedestrian contacts nie powodują już maksymalnego damage'u na samochodach.
Czysta poprawa dla serwerów PvE. Dla serwerów PvP domyślnie nic się nie zmienia.
Przemianowane ustawienia serwera (sprawdź config)
Dwa ustawienia zmieniły nazwy. Jeśli twój servertest.ini pochodzi z poradnika community:
- DisableSafehouseWhenPlayerConnected nazywa się teraz DisableSafehouseWhenOwnerConnected. Nowa nazwa faktycznie pasuje do tego, co ustawienie robi.
- Ustawienie "Wars" jest teraz domyślnie wyłączone. Jeśli prowadziłeś serwer PvP na domyślnej wartości, musisz teraz włączyć to jawnie.
Jeśli twój config ma jeszcze stary klucz, serwer prawdopodobnie po prostu go zignoruje przy następnym bootcie. Sprawdź po aktualizacji.
Inne fixy MP warte przypięcia
Wybór z listy fixów MP, które będzie czuć na serwerach community:
- Server hangs on world save creation załatane.
- Anti-cheat false positive trigger załatany.
- Desynchronizacje pojazdów: clipping przez siebie nawzajem, choppy trailery dla remote players, za duży damage przy kolizji.
- Mannequin clothing znika wizualnie po relogu załatane.
- Dyed clothing zmienia kolor tylko po dropie załatane.
- Calorie burn rate aplikuje się źle przy siedzeniu w pojeździe załatane (ten po cichu psuł food economy na długo działających serwerach).
- Body Damage i Muscle Strain z overencumbrance nie kumulują się już 4x szybciej na MP.
- Dźwięk "distant vehicle" wraca, gracze znów słyszą zbliżające się samochody z dystansu.
- Redundantne Fire i Smoke anti-cheats usunięte, redundantne XP/XPPlayer anti-cheats i nieużywany pakiet AddXP usunięte.
Jeśli hostujesz ciężkie stacki modów, przetestuj jeszcze raz po aktualizacji.
Nowa zawartość i balans
Głównie patch MP i fixów, ale parę rzeczy zmieniło się też dla graczy:
Nowe
- Nowe animacje reloadu broni dla lever action rifles i shotgunów.
- Accessibility: auto-pauza podczas czytania mapy (znany problem: zamraża mapę na padach).
- Nowy keybind Sit on Ground.
- Nowe assety koszy na śmieci dla Spiffos i PizzaWhirled.
Balans
- Park Ranger ma teraz +1 Carving zamiast +1 Tracking.
- Rancher ma teraz +1 Fitness zamiast +1 Agriculture.
- Improvised Gas Mask zrebalansowana: czyste szmaty mogą służyć jako Rag Filters, słabsze niż komercyjne respiratory, ale silniejsze niż bandana.
- Pojemności pojemników na płyny: Jerry Can 10L do 20L, wojskowe manierki 500ml do 900ml, Cowboy canteen 1L do 1.8L, hydration backpacks 1L do 2L (3L camo).
- Pusta butelka po piwie spadła z 1L do 300ml.
Modding API
Dla operatorów serwerów ze stackami modów:
- Non-base Module Recipes działają teraz w MP.
- Nowy event
SyncFactionServer(factionName, isRemove)przy każdej zmianie frakcji. - Nowe publiczne metody na zombie:
doCrawlerSpeed(zombieSpeed),doSprinter(),doFastShambler(),doFakeShambler(),doShambler(),getSpeedType(). getModTags()isetTags()naCraftRecipe,getItems()naInputScript.- Bug Mod Foraging Icon załatany: można znów zbierać mod items przez foraging.
- Pole Texture na Trait Script.
Jeśli wydajesz moda na frakcje albo difficulty mod, zrób szybki smoke test na Unstable, zanim wepchniesz 42.18 do swojego community.
Czy przerzucić live-serwer na Unstable teraz?
Szczera odpowiedź dla hosta serwera community:
- Publiczny serwer z publicznością wrażliwą na bezpieczeństwo: zaplanuj okno serwisowe w ciągu najbliższych 7 dni. Sam fix RakNet plus fix autoryzacji whitelisty to wystarczające powody.
- Prywatny serwer dla znajomych: poczekaj, aż 42.18 trafi na Stable.
- Chcesz testować mody pod 42.18 przed Stable: przerzuć dev-serwer, nie żywe community.
Tak czy inaczej: zrób backup save'a przed aktualizacją. Snapshot przed patchem jest tani, odzyskanie skorumpowanego świata z kopii Steam recycled nie.
Hostuj swój serwer Project Zomboid w DoomHosting
Jeśli stawiasz świeży serwer pod testy 42.18 albo przenosisz się z lagującej skrzynki przed kolejną falą hotfixów, serwery Project Zomboid od DoomHosting działają na sprzęcie Ryzen 9 z natychmiastowym setupem, pełnym dostępem FTP do edycji servertest.ini i Sandboxvars.lua bezpośrednio, instalacją modów z Steam Workshop jednym kliknięciem, ochroną DDoS i wsparciem 24/7. Cennik skaluje się według RAM, więc nie płacisz za sloty, których nie używasz.
Trzymajcie się tam, Kentucky.
