Project Zomboid Build 42.18.0 Unstable patch notes (maj 2026)

The Indie Stone udgav Project Zomboid Build 42.18.0 på Unstable-grenen den 11. maj 2026, og set fra en server-operatørs synsvinkel er det en af de vigtigste patches i hele b42-cyklen indtil videre. En RakNet DoS-sårbarhed er lukket, to bekræftede item-duplikations-exploits er løst, non-PVP vehicle interactions er skrevet om fra bunden, og en stille men kritisk whitelist auth-bug der lod spillere logge ind på andres karakterer ved kun at kende brugernavnet er fjernet.

Driver du en multiplayer PZ-server: læs sikkerhedssektionen før alt andet.

Sådan kommer du på Build 42.18.0 Unstable

42.18.0 ligger på Unstable beta-grenen, ikke Stable. Sådan opter du ind:

1. Højreklik Project Zomboid i dit Steam-bibliotek.
2. Vælg Properties.
3. Under Game Version & Betas, vælg Unstable.

Din server-build skal matche din klient. Sætter du en community-server op på Unstable, skal alle der forbinder også være på Unstable. For de fleste live-communities er det sikrere at vente 1-2 uger på at 42.18.x rammer Stable. Men sikkerhedsfixene gør, at du bør planlægge opdateringsvinduet nu, ikke lade det sidde.

Sikkerhed: RakNet DoS, dupe-exploits og whitelist auth

Det her er den vigtige del for alle med en offentlig PZ-server.

RakNet DoS-sårbarhed lukket

Build 42.18 lukker en RakNet DoS-sårbarhed rapporteret af en community-bidragyder krediteret som Cat. RakNet er det netværksbibliotek PZ bruger under motorhjelmen, så det her er en pre-auth-overflade: en angriber behøvede ikke være på whitelisten for at crashe serveren. Der er ingen offentlig PoC og The Indie Stone bekræfter kun fixet, ikke den nøjagtige vektor.

Action: er din server eksponeret på det åbne internet (ikke kun delt via Discord), så planlæg 42.18-opdateringen før hellere end senere. Fixet lander først på Unstable nu, men rammer Stable i samme patch-familie.

To duplikations-exploits lukket

42.18 lukker to bekræftede dupes der har cirkuleret stille i et stykke tid:

• Backpack-duplikation der kopierede tasken og alt indhold.
• Forging-duplikation der producerede en ekstra item pr. craft.

Begge krævede ingen mods og virkede på enhver vanilla MP-server. Har du set spillere dukke op med mistænkeligt meget high-tier gear de sidste uger, er det sandsynligvis sådan. Der er intet rollback-værktøj, men pin et opslag om lukningen på din Discord og kør en let loot-wipe som rens.

Whitelist auth: AutoCreateUserInWhiteList fjernet

Den skjulte sikkerheds-overskrift er denne linje:

Removed AutoCreateUserInWhiteList setting. This fixes an issue where in some instances another user could log in to a character by only knowing the username.

Havde du AutoCreateUserInWhiteList=true på din server (det var default på mange community-configs), kunne en spiller forbinde med en andens brugernavn, og serveren ville oprette en whitelist-entry til dem. Det er character-takeover. Indstillingen er væk i 42.18, og auth-flowet kræver nu en rigtig whitelist-entry først.

Vedligeholder du whitelist-eksport fra en Discord-bot eller website-signup, så tjek at den stadig importerer korrekt efter opdateringen.

Non-PVP vehicle interactions: total omskrivning

42.18 omskriver hvordan biler interagerer med non-PVP-spillere. Det gamle layout, hvor en forbipasserende bil kunne stagger eller dræbe en ven, har været en lang klage på community-servere. Efter 42.18:

• Non-PVP-spillere tager ikke længere skade når de bliver ramt af et køretøj.
• PVP-spillere tager stadig skade hvis PlayerDamageFromVehicleImpact ikke er sat til None.
• PVP-spillere kan knockes ned af et køretøj når KnockedDownAllowed=true.
• Non-PVP-spillere bliver ikke længere staggered eller knocked down af vehicle impacts.
• Non-PVP-spillere skader ikke længere køretøjer ved kontakt.
• Persistent pedestrian contacts giver ikke længere max skade på biler.

Det er en ren forbedring for PvE-servere. For PvP-servere ændres intet by default.

Omdøbte server-settings (tjek din config)

To settings har skiftet navn. Hvis din servertest.ini er baseret på en community-guide, så opdater:

• DisableSafehouseWhenPlayerConnected hedder nu DisableSafehouseWhenOwnerConnected. Det nye navn matcher faktisk hvad indstillingen gør.
• "Wars" setting er nu disabled by default. Kørte du PvP-server på defaulten, skal du nu eksplicit aktivere det.

Har din config stadig den gamle DisableSafehouseWhenPlayerConnected-key, ignorerer serveren den sandsynligvis bare ved næste boot. Tjek efter opdateringen.

Andre MP-fixes værd at notere

Et udvalg fra MP-fix-listen der mærkes på community-servere:

• Server hangs on world save creation fikset.
• Anti-cheat false positive trigger fikset.
• Vehicle-desyncs: clipping gennem hinanden, choppy trailers for remote players, for meget skade ved kollision.
• Mannequin clothing forsvinder visuelt efter relog fikset.
• Dyed clothing skifter kun farve når den droppes fikset.
• Calorie burn rate applies forkert når man sidder i et køretøj fikset (denne brød stille food economy på langtidskørende servere).
• Body Damage & Muscle Strain fra overencumbrance akkumuleres ikke længere 4x hurtigere på MP.
• "distant vehicle" lyd er tilbage, så spillere kan høre biler nærme sig på afstand igen.
• Redundant Fire og Smoke anti-cheats fjernet, redundant XP/XPPlayer anti-cheats og den ubrugte AddXP-pakke fjernet.

Hoster du tunge mod-stacks, så retest efter opdateringen.

Nyt indhold og balance

Det er primært en MP- og fixes-patch, men lidt ændrede sig også for spillerne:

Nyt

• Nye weapon reload-animationer for lever action rifler og shotguns.
• Accessibility: auto-pause når man læser kort (kendt issue: fryser kortet på controllere).
• Ny keybind for Sit on Ground.
• Nye garbage bin-assets for Spiffos og PizzaWhirled, opdaterede propane tank-assets.

Balance

• Park Ranger har nu +1 Carving i stedet for +1 Tracking.
• Rancher har nu +1 Fitness i stedet for +1 Agriculture.
• Improvised Gas Mask rebalanced: rene klude kan bruges som Rag Filters, svagere end commercial respirators men stærkere end en bandana.
• Fluid container-kapaciteter justeret: Jerry Can 10L til 20L, militære canteens 500ml til 900ml, Cowboy canteen 1L til 1.8L, hydration backpacks 1L til 2L (3L for camo).
• Empty beer bottle sænket fra 1L til 300ml.

Modding API

For server-ejere med mod-stacks:

• Non-base Module Recipes virker nu i MP.
• Ny SyncFactionServer(factionName, isRemove)-event ved enhver faction-ændring.
• Nye public methods på zombier: doCrawlerSpeed(zombieSpeed), doSprinter(), doFastShambler(), doFakeShambler(), doShambler(), getSpeedType().
• getModTags() og setTags() på CraftRecipe, getItems() på InputScript.
• Mod Foraging Icon-bug fikset: mod items kan foraged igen.
• Texture-field på Trait Script (custom Trait-ikoner uden hacks).

Shipper du en faction-mod eller difficulty-mod, så lav en hurtig smoke test på Unstable før du pusher 42.18 til dit community.

Skal du switche din live-server til Unstable nu?

Ærligt svar for en community-server-host:

• Public-facing server med sikkerhedsfølsomt publikum: planlæg et maintenance-vindue i løbet af de næste 7 dage.
• Privat venneserver: vent på 42.18 til Stable.
• Du vil teste mods mod 42.18 før Stable: switch en dev-server, ikke dit live-community.

Uanset hvad: backup dit save før opdateringen.

Host din Project Zomboid-server hos DoomHosting

Spinder du en frisk server op til at teste 42.18, eller flytter du væk fra en laggy boks før næste hotfix-bølge, så kører DoomHosting's Project Zomboid-servere på Ryzen 9-hardware med instant setup, fuld FTP til at redigere servertest.ini og Sandboxvars.lua direkte, Steam Workshop one-click mod-installer, DDoS-beskyttelse og 24/7-support. Pricing skalerer efter RAM, så du betaler ikke for slots du ikke bruger.

Pas på dig selv derude, Kentucky.