Notes de patch Project Zomboid Build 42.18.0 Unstable (mai 2026)

The Indie Stone a publié Project Zomboid Build 42.18.0 sur la branche Unstable le 11 mai 2026, et du point de vue d'un opérateur de serveur, c'est l'un des patchs les plus lourds de conséquences du cycle b42 jusqu'ici. Une faille DoS dans RakNet a été corrigée, deux exploits de duplication d'objets confirmés ont été fermés, le modèle d'interaction des véhicules hors PVP a été réécrit de zéro, et un bug d'authentification de la whitelist, discret mais sérieux, qui permettait de se connecter au personnage d'un autre joueur en connaissant seulement son nom d'utilisateur, a été supprimé.

Si vous gérez un serveur PZ multijoueur, lisez la section sécurité avant tout le reste.

Comment passer sur la Build 42.18.0 Unstable

La build 42.18.0 est sur la branche bêta Unstable, pas sur Stable. Pour l'activer :

1. Faites un clic droit sur Project Zomboid dans votre bibliothèque Steam.
2. Choisissez Propriétés.
3. Dans Version du jeu et bêtas, sélectionnez Unstable.

La build de votre serveur doit correspondre à celle du client. Si vous montez un serveur communautaire sur Unstable, tous les joueurs qui s'y connectent doivent être sur la même branche. Pour la plupart des communautés en activité, le choix le plus sûr reste d'attendre une à deux semaines que 42.18.x arrive sur Stable. Les correctifs de sécurité justifient quand même de planifier dès maintenant cette fenêtre de mise à jour, plutôt que de laisser le patch de côté.

Sécurité : DoS RakNet, exploits de duplication et faille d'authentification whitelist

C'est la partie qui compte pour quiconque expose un serveur PZ sur une IP publique.

Faille DoS RakNet corrigée

La Build 42.18 corrige une faille DoS dans RakNet signalée à l'équipe par un membre de la communauté crédité sous le pseudo Cat. RakNet est la bibliothèque réseau utilisée par PZ en interne, donc la surface d'attaque se situe avant l'authentification : un attaquant n'avait pas besoin d'être sur la whitelist pour faire tomber un serveur. Aucun PoC public n'a circulé et les notes de The Indie Stone confirment uniquement le correctif, sans détailler le vecteur exact, ce qui correspond au schéma de divulgation responsable que l'on veut voir.

À faire : si votre serveur est exposé en direct sur internet (et pas partagé uniquement par IP sur un Discord privé), planifiez la mise à jour 42.18 sans traîner. Le correctif n'arrive aujourd'hui que sur Unstable, mais il passera sur Stable dans la même famille de patchs.

Deux exploits de duplication fermés

42.18 ferme deux duplications confirmées qui circulaient discrètement :

• Duplication de sac à dos, qui copiait le sac et tout son contenu.
• Duplication à la forge, qui produisait un objet supplémentaire à chaque fabrication.

Aucune des deux ne nécessitait de mods et toutes deux fonctionnaient sur n'importe quel serveur MP vanilla. Si vous avez vu ces dernières semaines des joueurs débarquer avec des quantités suspectes d'équipement haut de gamme ou de lingots, l'explication est probablement là. Il n'existe pas d'outil de rollback, mais épingler un message sur Discord pour annoncer la fermeture de l'exploit et lancer une passe de loot de type wipe léger reste la remise à zéro la plus propre.

Spawn d'objets non autorisé par les clients

Dans la même veine : 42.18 corrige "un problème qui permettait à des clients de faire spawn des objets sans autorisation". Même famille de bug que les duplications, vecteur différent. Bon à savoir si vous avez déjà vu une ligne d'audit de commande admin suspecte qui ne venait d'aucun admin réel.

Authentification whitelist : AutoCreateUserInWhiteList supprimé

Le vrai gros titre sécurité, c'est cette ligne du changelog :

Suppression du paramètre AutoCreateUserInWhiteList. Cela corrige un problème qui permettait, dans certains cas, à un autre utilisateur de se connecter à un personnage en connaissant uniquement le nom d'utilisateur.

Si vous aviez AutoCreateUserInWhiteList=true sur votre serveur (c'était le comportement par défaut sur beaucoup de configs communautaires), un joueur pouvait se connecter avec le nom d'utilisateur de quelqu'un d'autre et le serveur lui créait tranquillement une entrée de whitelist. On est en plein vol de personnage. Le paramètre disparaît en 42.18, et le flux d'authentification exige désormais une entrée de whitelist en bonne et due forme.

Si vous maintenez un export de whitelist depuis un bot Discord ou une inscription sur votre site, vérifiez qu'il s'importe toujours correctement après la mise à jour.

Interactions véhicules hors PVP : réécriture complète

42.18 revoit la façon dont les véhicules interagissent avec les joueurs hors PVP. L'ancien comportement, où une voiture qui passe pouvait faire chanceler ou tuer un joueur allié, traînait depuis longtemps dans les plaintes des serveurs communautaires et générait beaucoup de tickets de modération. Après 42.18 :

• Les joueurs hors PVP ne subissent plus de dégâts quand un véhicule les percute.
• Les joueurs en PVP subissent toujours des dégâts si PlayerDamageFromVehicleImpact n'est pas réglé sur None.
• Les joueurs en PVP peuvent être mis à terre par un véhicule quand KnockedDownAllowed=true.
• Les joueurs hors PVP ne sont plus déséquilibrés ni mis à terre par les impacts de véhicules.
• Les joueurs hors PVP n'endommagent plus les véhicules au contact.
• Les contacts piétons persistants n'appliquent plus de dégâts maximum aux voitures.

C'est une amélioration sans contrepartie pour les serveurs PvE. Sur les serveurs PvP, rien ne change par défaut : les réglages de dégâts existants fonctionnent comme avant.

Paramètres serveur renommés (vérifiez votre config)

Deux paramètres ont changé de nom. Si vous avez repris votre servertest.ini d'un guide communautaire, mettez-le à jour :

• DisableSafehouseWhenPlayerConnected devient DisableSafehouseWhenOwnerConnected. Le nouveau nom correspond enfin à ce que fait le paramètre : bloquer l'intrusion dans une safehouse tant que le propriétaire est connecté, et pas n'importe quel joueur.
• Le paramètre "Wars" est désormais désactivé par défaut. Si vous gérez un serveur PvP et que vous comptiez sur la valeur par défaut, il faut maintenant l'activer explicitement.

Si votre config contient encore l'ancienne clé DisableSafehouseWhenPlayerConnected, le serveur l'ignorera probablement au prochain démarrage. Revérifiez après la mise à jour.

Autres correctifs MP à épingler

Une petite sélection de la liste des correctifs multijoueur qui se verront sur les serveurs communautaires :

• Blocages du serveur à la création de la sauvegarde du monde corrigés.
• Faux positifs de l'anti-cheat corrigés.
• Désyncs liés aux véhicules : véhicules qui se traversent, remorques saccadées pour les joueurs distants, dégâts excessifs en collision.
• Vêtements des mannequins qui disparaissaient visuellement après une reconnexion corrigé.
• Vêtements teints qui ne changeaient de couleur qu'une fois lâchés au sol corrigé.
• Vitesse de combustion des calories mal appliquée en position assise dans un véhicule corrigée (ce bug cassait discrètement l'économie de nourriture sur les serveurs qui tournent longtemps).
• Dégâts corporels et fatigue musculaire liés à la surcharge ne s'accumulent plus 4 fois plus vite en MP.
• L'audio des "véhicules lointains" est de retour : on entend à nouveau les voitures approcher de loin.
• La zone de carte visitée se réinitialise désormais après une reconnexion, et les sauvegardes VisitedMap ont été optimisées.
• Anti-cheats Fire et Smoke redondants supprimés, ainsi que les anti-cheats XP / XPPlayer redondants et le paquet AddXP inutilisé. Moins de surface pour les faux positifs.

Les hébergeurs qui font tourner de grosses stacks de mods devraient retester après la mise à jour : les changements d'anti-cheat, plus les ajustements de l'API de modding ci-dessous, révèlent parfois des incompatibilités de mods jusque-là silencieuses.

Nouveau contenu et équilibrage

C'est avant tout un patch MP et correctifs, mais quelques points changent aussi pour les joueurs :

Nouveautés

• Nouvelles animations de rechargement pour les carabines à levier et les fusils à pompe.
• Option d'accessibilité : mise en pause automatique pendant la lecture des cartes (à noter : elle est connue pour figer l'écran de carte à la manette, désactivez-la si vous jouez au gamepad).
• Nouveau raccourci clavier pour Sit on Ground.
• Nouveaux assets de poubelles pour Spiffos et PizzaWhirled, assets de bonbonnes de propane mis à jour.

Équilibrage

• Park Ranger donne désormais +1 en Carving au lieu de +1 en Tracking.
• Rancher donne désormais +1 en Fitness au lieu de +1 en Agriculture.
• Improvised Gas Mask rééquilibré : les chiffons propres peuvent servir de Rag Filters, moins efficaces que les respirateurs du commerce mais meilleurs qu'un bandana, et les filtres usés dont le Delta est inférieur ou égal à 30 % redeviennent des chiffons sales.
• Capacités des contenants de liquide ajustées : Jerry Can de 10 L à 20 L, gourdes militaires de 500 ml à 900 ml, Cowboy canteen de 1 L à 1,8 L, sacs d'hydratation de 1 L à 2 L (ou 3 L en camo).
• La bouteille de bière vide passe de 1 L à 300 ml, ce qui colle bien mieux à une vraie bouteille.

API de modding : événements de synchronisation de factions et méthodes de vitesse des zombies

Pour les propriétaires de serveurs qui font tourner des stacks de mods, les ajouts pertinents :

• Les recettes des modules non-base fonctionnent désormais en MP (c'était une plainte récurrente).
• Nouvel événement SyncFactionServer(factionName, isRemove) déclenché à chaque changement de faction.
• Nouvelles méthodes publiques sur les zombies : doCrawlerSpeed(zombieSpeed), doSprinter(), doFastShambler(), doFakeShambler(), doShambler(), getSpeedType(). Les mods de difficulté et de hordes qui changent la vitesse des zombies à l'exécution peuvent enfin le faire proprement via l'API publique.
• getModTags() et setTags() ajoutés à CraftRecipe, getItems() ajouté à InputScript.
• Bug de l'icône de fouille des mods corrigé : les objets de mods peuvent à nouveau être trouvés en fouillant, ce qui cassait silencieusement un certain nombre de mods saisonniers.
• Champ de texture ajouté au Trait Script (les icônes de traits personnalisés n'ont plus besoin d'un bricolage).

Si vous publiez un mod de factions ou de difficulté, prévoyez un test rapide sur Unstable avant de pousser 42.18 à votre communauté.

Faut-il basculer votre serveur en production sur Unstable maintenant ?

Réponse honnête pour un hébergeur de serveur communautaire :

• Serveur public avec un public sensible à la sécurité : planifiez une fenêtre de maintenance dans les 7 jours. Le correctif RakNet et celui de l'authentification whitelist suffisent à eux seuls.
• Serveur privé entre amis : attendez que 42.18 arrive sur Stable. Les bugs encore présents sur Unstable seront corrigés dans un hotfix 42.18.x rapidement.
• Vous voulez vraiment tester vos mods contre 42.18 avant la sortie Stable : basculez un serveur de test, pas votre serveur communautaire.

Dans tous les cas, sauvegardez votre monde avant la mise à jour. Un snapshot avant patch ne coûte presque rien. Restaurer un monde corrompu depuis une sauvegarde recyclée par Steam, beaucoup moins.

Hébergez votre serveur Project Zomboid chez DoomHosting

Si vous montez un nouveau serveur pour tester 42.18, ou si vous envisagez de quitter une machine qui rame avant la prochaine vague de hotfix, les serveurs Project Zomboid de DoomHosting tournent sur du matériel Ryzen 9 avec installation instantanée, accès FTP complet pour éditer directement servertest.ini et Sandboxvars.lua, installation de mods Steam Workshop en un clic, protection DDoS et support 24/7. Le tarif évolue avec la RAM, vous dimensionnez donc selon votre nombre réel de joueurs au lieu de payer des slots que vous n'utilisez pas.

Restez en vie là-bas, Kentucky.