Valve repareert illusie-wachtrij-exploit

Gepubliceerd 27 september 2026

Valve heeft een Dota 2-interactie gerepareerd die de echte held kon onthullen na een illusiesplitsing. Vóór de wijziging kon een speler Shift ingedrukt houden en een aanval of ability in de wachtrij plaatsen op een vijand voordat dat doelwit een effect zoals Manta Style gebruikte. De wachtrij-opdracht bleef aan de originele unit gekoppeld in plaats van te worden gewist, waardoor de opdracht de echte held tussen de nieuwe illusies kon identificeren en volgen. De update verwijdert nu vijandelijke opdrachten uit de wachtrij wanneer die splitsing plaatsvindt.

Het probleem vereiste niet dat een speler modellen kon onderscheiden op basis van beweging, schade of gedrag. De client had al een doelwit gekregen, en de command queue bewaarde informatie die onzeker had moeten worden toen het illusie-effect werd afgehandeld. In de praktijk kon de interface een vraag beantwoorden die de speler tijdens het spelen zelf hoorde op te lossen. Daardoor was de bug relevant voor zowel aanvallen als gerichte abilities, omdat beide soorten wachtrij-opdrachten naar de originele vijand konden blijven wijzen.

Analist Denis “sikle” Lerman wees op de correctie na de update. Zijn uitleg beschrijft een precieze voor- en natoestand: vijandelijke opdrachten overleefden eerst het ontstaan van de illusie, en worden nu uit de wachtrij gewist. De fix verandert het normale doel van Shift-opdrachten niet en haalt illusiemechanieken niet weg. Hij dicht de informatieve sluiproute die ontstond wanneer een opdracht bleef bestaan door een moment dat juist bedoeld is om de echte unit moeilijker te identificeren.

Waarom het wissen van de opdracht belangrijk is

Een illusiesplitsing zorgt voor een kort beslissingsprobleem. De tegenstander moet de beschikbare units opnieuw beoordelen en beslissen welke een aanval of spreuk verdient. Als een eerder in de wachtrij gezette instructie een privélink naar de originele held behoudt, verdwijnt die beslissing. Het wissen van vijandige opdrachten herstelt de beoogde onzekerheid zonder een bredere herziening van Manta Style of elke held die illusies maakt.

De gemelde fix is specifiek genoeg om te testen. Een speler kan een aanval of gerichte ability in de wachtrij plaatsen op een vijand, een illusie-voortbrengend effect op dat doelwit activeren en kijken of de opdracht de originele blijft selecteren. Na de update zou de vijandelijke instructie de wachtrij moeten verlaten. Een geslaagde test bevestigt de specifieke correctie; het bewijst niet dat elke niet-gerelateerde illusie-interactie in Dota 2 vrij is van fouten.

Dezelfde update introduceerde ook een verborgen consolevariabele met de naam dota_lobby_nonce. Deze genereert een eenmalige willekeurige waarde voor een custom of lokale lobby. De lobby en de server die deze accepteert, moeten dezelfde waarde hebben, wat een extra controle tegen serververvanging biedt. Deze wijziging betreft de lobby-identiteit en de infrastructuur voor custom games, niet het probleem van de visuele illusie, ook al kwamen beide in dezelfde technische update.

Valve voegde ook parameters toe die bedoeld zijn om servers te beschermen tegen commando-flooding. Het bronrapport bevat geen volledige changelog voor ontwikkelaars of prestatiemetingen, dus het effect mag niet worden uitvergroot tot de bewering dat elk probleem met custom games of serverbeveiliging is opgelost. Wat bevestigd is, is een reeks gerichte waarborgen: het lek in de wachtrijvolgorde is verwijderd, lobby-matching kreeg een nonce en de afhandeling van servercommando's kreeg extra bescherming.

Drie correcties, drie verschillende risico's

Door de wijzigingen naar doel te groeperen, worden ze niet aangezien voor één grote gameplay-patch. De illusiecorrectie beschermt competitieve informatie tijdens een match. De lobby-nonce helpt een custom of lokale lobby de server die deze accepteert te verifiëren. De nieuwe flood-gerelateerde parameters pakken buitensporige commando's naar een server aan. Elk reageert op een ander faalpad en vereist een eigen reproductietest.

De update volgt op een eerdere correctie met betrekking tot Meepo en onbeperkte Blink Daggers, maar de twee bugs zijn geen varianten van dezelfde exploit. Het noemen van de eerdere fix bevestigt de volgorde van recent onderhoudswerk, niet een gemeenschappelijke oorzaak. Het illusieprobleem is opgelost door het wissen van de order, en dat is het gedrag dat spelers direct in de live client kunnen verifiëren.

• In de wachtrij geplaatste vijandelijke aanvallen en abilities moeten nu worden gewist wanneer een illusie splitst.
• De verborgen dota_lobby_nonce-waarde koppelt een custom of lokale lobby aan de server die deze accepteert.
• Er zijn extra parameters geïntroduceerd om servers te beschermen tegen commando-flooding.

Wijziging	Op te lossen probleem	Verificatiegrens
Wissen van vijandelijke orders	Identificatie van de echte held via een in de wachtrij geplaatst commando	Test de wachtrij na een illusiesplitsing
Lobby-nonce	Mismatch tussen een lobby en de accepterende server	Bevestig dat beide zijden dezelfde gegenereerde waarde gebruiken
Flood-waarborgen	Buitensporige servercommando's	Er werd geen bredere prestatieclaim gerapporteerd

De meest zichtbare correctie verwijdert een verborgen targetingvoordeel: een order die vóór een illusiesplitsing wordt uitgegeven, zou daarna niet langer de echte held mogen onthullen. De bijbehorende lobby- en serverwaarborgen zijn minder duidelijk voor spelers, maar ze versterken hetzelfde onderhoudsthema: gooi informatie of verkeer weg dat niet buiten zijn geldige context mag worden vertrouwd.