Project Zomboid Build 42.18.0 Unstable: patchnotater (mai 2026)

The Indie Stone sendte Project Zomboid Build 42.18.0 ut på Unstable-grenen 11. mai 2026, og sett fra en serveroperatørs ståsted er dette en av de viktigste patchene i hele b42-syklusen så langt. Et RakNet DoS-hull er tettet, to bekreftede dupe-exploits er stengt, kjøretøyinteraksjonene for ikke-PVP-spillere er skrevet om fra bunnen av, og en lite omtalt, men viktig whitelist-autentiseringsfeil som lot spillere logge inn på andres karakterer bare ved å kjenne brukernavnet, er fjernet.

Kjører du en PZ-server med flerspiller, les sikkerhetsdelen før alt annet.

Project Zomboid Build 42.18.0 Unstable-banner fra The Indie Stone

Slik kommer du deg over på Build 42.18.0 Unstable

Build 42.18.0 ligger på Unstable-betagrenen, ikke Stable. Slik melder du deg på:

Høyreklikk Project Zomboid i Steam-biblioteket ditt.
Velg Properties.
Under Game Version & Betas velger du Unstable.

Serverbuilden må matche klienten. Setter du opp en community-server på Unstable, må hver eneste spiller som kobler til være på samme gren. For de fleste aktive communities er det tryggeste å vente en til to uker til 42.18.x ruller ut på Stable. Sikkerhetsfiksene er likevel grunn nok til å booke det oppdateringsvinduet allerede nå, i stedet for å la patchen bli liggende.

Sikkerhet: RakNet DoS, dupe-exploits og et hull i whitelist-autentiseringen

Dette er delen som betyr noe for alle med en PZ-server på offentlig IP.

RakNet DoS-hull tettet

Build 42.18 fikser et RakNet DoS-hull som et community-medlem kreditert som Cat meldte inn til utviklerne. RakNet er nettverksbiblioteket PZ bruker under panseret, så dette er en angrepsflate før autentisering: en angriper trengte ikke å stå på whitelisten for å krasje en server med det. Det finnes ingen offentlig PoC, og Indie Stone bekrefter bare fiksen, ikke den nøyaktige angrepsvektoren. Det er akkurat slik ansvarlig varsling skal fungere.

Gjør dette: er serveren din eksponert mot det åpne internettet (og ikke bare delt via en IP i Discord), bør du planlegge 42.18-oppdateringen heller før enn senere. Fiksen finnes foreløpig bare på Unstable, men den kommer til Stable i samme patchfamilie.

To dupe-exploits stengt

42.18 stenger to bekreftede dupes som har sirkulert i det stille:

Ryggsekk-dupe som kopierte sekken og hele innholdet.
Smie-dupe som ga en ekstra gjenstand per craft.

Begge fungerte uten mods på enhver vanilla MP-server. Har du lagt merke til spillere som plutselig dukker opp med mistenkelig mye high-tier-utstyr eller barrer de siste ukene, er det sannsynligvis forklaringen. Det finnes ikke noe rollback-verktøy, men å feste en melding om fiksen i Discord og kjøre en lett loot-wipe er den ryddigste måten å nullstille på.

Uautorisert spawning av gjenstander fra klienter

Nært beslektet: 42.18 fikser «en feil som lot klienter spawne gjenstander uten autorisasjon». Samme type feil som dupene, bare en annen vektor. Greit å vite om du noen gang har sett en mistenkelig admin-kommando i loggen som ikke kom fra en faktisk admin.

Whitelist-autentisering: AutoCreateUserInWhiteList er fjernet

Den skjulte sikkerhetsnyheten er denne linjen i endringsloggen:

Innstillingen AutoCreateUserInWhiteList er fjernet. Dette fikser en feil der en annen bruker i noen tilfeller kunne logge inn på en karakter bare ved å kjenne brukernavnet.

Hadde du AutoCreateUserInWhiteList=true på serveren (det var standardoppførselen i mange community-konfigurasjoner), kunne en spiller koble til med noen andres brukernavn, og serveren opprettet gladelig en whitelist-oppføring for dem. Det er rett og slett karakterkapring. Innstillingen er borte i 42.18, og innloggingen krever nå en ordentlig whitelist-oppføring først.

Vedlikeholder du en whitelist-eksport fra en Discord-bot eller en påmelding på nettsiden, sjekk at den fortsatt importeres riktig etter oppdateringen.

Overlevende i Project Zomboid Build 42 som holder stand i flerspiller

Kjøretøy og ikke-PVP-spillere: helt omskrevet

42.18 endrer hvordan kjøretøy samhandler med ikke-PVP-spillere. Den gamle oppførselen, der en forbipasserende bil kunne få en vennlig spiller til å vakle eller rett og slett drepe dem, har vært en gjengangerklage på community-servere og kilden til mange moderatorsaker. Etter 42.18:

Ikke-PVP-spillere tar ikke lenger skade når de blir truffet av et kjøretøy.
PVP-spillere tar fortsatt skade hvis PlayerDamageFromVehicleImpact ikke er satt til None.
PVP-spillere kan slås i bakken av et kjøretøy når KnockedDownAllowed=true.
Ikke-PVP-spillere vakler eller slås ikke lenger i bakken av kjøretøy.
Ikke-PVP-spillere skader ikke lenger kjøretøy ved kontakt.
Vedvarende kontakt med fotgjengere gir ikke lenger maks skade på biler.

For PvE-servere er dette en ren forbedring. For PvP-servere endres ingenting som standard, og de eksisterende skadeinnstillingene fungerer som før.

Serverinnstillinger med nye navn (sjekk konfigurasjonen din)

To innstillinger har byttet navn. Har du bygget servertest.ini ut fra en community-guide, oppdater den:

DisableSafehouseWhenPlayerConnected heter nå DisableSafehouseWhenOwnerConnected. Det nye navnet stemmer faktisk med hva innstillingen gjør (hindrer innbrudd i safehouse mens eieren er pålogget, ikke hvilken som helst spiller).
«Wars»-innstillingen er nå avslått som standard. Kjører du en PvP-server og har støttet deg på standardverdien, må du slå den på eksplisitt.

Har konfigurasjonen din fortsatt den gamle nøkkelen DisableSafehouseWhenPlayerConnected, vil serveren trolig bare ignorere den ved neste oppstart. Dobbeltsjekk etter oppdateringen.

Andre MP-fikser verdt å merke seg

Et lite utvalg fra fikselisten for flerspiller som vil merkes på community-servere:

Server som henger når verdenslagringen opprettes er fikset.
Falske positive i anti-cheat er fikset.
Desync rundt kjøretøy: biler som klipper gjennom hverandre, hakkete tilhengere for andre spillere og for mye skade ved kollisjon.
Klær på mannekenger som forsvinner visuelt etter relogg er fikset.
Farget tøy som bare skiftet farge når det ble sluppet er fikset.
Feil kaloriforbrenning når du sitter i et kjøretøy er fikset (denne ødela matøkonomien i det stille på servere som har gått lenge).
Kroppsskade og muskelstrekk fra overlast hoper seg ikke lenger opp 4x raskere i MP.
Lyd fra kjøretøy på avstand er tilbake, så spillere kan igjen høre biler som nærmer seg langt unna.
Besøkte områder på kartet nullstilles nå etter relogg, og VisitedMap-lagringer har fått optimaliseringer.
Overflødige anti-cheats for Fire og Smoke er fjernet, i tillegg til overflødige XP / XPPlayer-anti-cheats og den ubrukte AddXP-pakken. Mindre flate for falske positive.

Servere med tunge mod-oppsett bør teste på nytt etter oppdateringen. Anti-cheat-endringene og justeringene i modding-API-et nedenfor kan av og til avdekke mod-konflikter som tidligere ikke ga seg til kjenne.

Nytt innhold og balanse

Dette er i hovedsak en MP- og fiksepatch, men noen ting er endret for spillerne også:

Nytt

Nye ladeanimasjoner for lever action-rifler og hagler.
Tilgjengelighetsvalg: pause spillet automatisk når du leser kart (merk: kjent for å fryse kartskjermen på kontroller, slå det av hvis du bruker gamepad).
Ny hurtigtast for Sit on Ground.
Nye søppeldunker for Spiffos og PizzaWhirled, og oppdaterte propantanker.

Balanse

Park Ranger har nå +1 Carving i stedet for +1 Tracking.
Rancher har nå +1 Fitness i stedet for +1 Agriculture.
Improvised Gas Mask er rebalansert: rene filler kan brukes som Rag Filters, svakere enn kommersielle åndedrettsvern men sterkere enn et bandana, og brukte filtre på <= 30 % Delta blir til skitne filler.
Kapasiteten på væskebeholdere er justert: Jerry Can fra 10 l til 20 l, militære feltflasker fra 500 ml til 900 ml, Cowboy-feltflaske fra 1 l til 1,8 l, drikkesekker fra 1 l til 2 l (eller 3 l for camo).
Tom ølflaske er kuttet fra 1 l til 300 ml, noe som er nærmere en ekte flaske.

Kjøretøy og en overlevende i Kentucky i Project Zomboid Build 42

Modding-API: synk-hendelser for factions og metoder for zombiefart

For servereiere med mod-oppsett er dette de relevante nyhetene:

Oppskrifter fra andre moduler enn base fungerer nå i MP (en gjentakende klage).
Ny hendelse, SyncFactionServer(factionName, isRemove), som utløses ved enhver endring i en faction.
Nye offentlige metoder på zombier: doCrawlerSpeed(zombieSpeed), doSprinter(), doFastShambler(), doFakeShambler(), doShambler(), getSpeedType(). Vanskelighets- og horde-mods som bytter zombiefart underveis kan nå gjøre det ryddig via det offentlige API-et.
getModTags() og setTags() er lagt til i CraftRecipe, og getItems() i InputScript.
Feil med foraging-ikon for mods er fikset: mod-gjenstander kan nå foraging-es, noe som i det stille ødela flere sesong-mods.
Texture-felt er lagt til i Trait Script (egne trait-ikoner trenger ikke lenger en hack).

Lager du en faction-mod eller en vanskelighetsmod, sett av tid til en rask røyktest på Unstable før du ruller 42.18 ut til communityet ditt.

Bør du bytte liveserveren til Unstable nå?

Det ærlige svaret for deg som drifter en community-server:

Offentlig server med et sikkerhetsbevisst publikum: sett av et vedlikeholdsvindu i løpet av de neste 7 dagene. RakNet-fiksen og whitelist-fiksen er grunn nok hver for seg.
Privat server for vennegjengen: vent til 42.18 kommer til Stable. Feilene som fortsatt er i Unstable, blir fikset i en 42.18.x-hotfix snart.
Du vil aktivt teste mods mot 42.18 før Stable kommer: bytt en testserver, ikke liveserveren til communityet.

Uansett: ta sikkerhetskopi av lagringen før du oppdaterer. Et øyeblikksbilde før patchen er billig. Å gjenopprette en korrupt verden fra Steams papirkurv er det ikke.

Kjør Project Zomboid-serveren din hos DoomHosting

Setter du opp en fersk server for å teste 42.18, eller vurderer du å flytte fra en treg boks før neste bølge med hotfixer? DoomHostings Project Zomboid-servere kjører på Ryzen 9-maskinvare med umiddelbart oppsett, full FTP-tilgang så du kan redigere servertest.ini og Sandboxvars.lua direkte, ettklikksinstallasjon av mods fra Steam Workshop, DDoS-beskyttelse og døgnåpen support. Prisen skalerer etter RAM, så du kan dimensjonere for det faktiske antallet spillere i stedet for å betale for slots du ikke bruker.

Pass på deg selv der ute i Kentucky.