Gezine lanza CivSwitch 1.0, una falla en el chat de Civilization VII que ejecuta código en Switch 2 desde la partida guardada, como prueba de concepto
El 01/11/2026, el desarrollador Gezine lanzó CivSwitch 1.0. Usa una falla de XSS en el chat multijugador de la edición de Switch 1 de Civilization VII: el chat acepta un texto que termina ejecutándose como código. Con eso, la consola ejecuta código JavaScript en userland, es decir, solo a nivel de las apps, sin acceso al núcleo del sistema. Es el exploit (la forma de aprovechar la falla) por cartucho físico que Gezine ya había mencionado. En líneas generales, un pequeño microcontrolador se hace pasar por un teclado USB y escribe el código en el chat; después, un paso de instalación hecho desde una computadora graba el código en la partida guardada del juego, y a partir de ahí se ejecuta cada vez que se carga esa partida al abrir el juego, sin necesidad de computadora ni de SmileBASIC.
@gezine_dev · X · 01/11/2026
Contexto
Según el README del proyecto, solo es compatible la versión 1.0.0 del juego en cartucho físico. Según el autor, la versión de Switch 2 es code-in-a-box (la caja trae solo un código para descargar el juego, sin el juego en el cartucho) y la versión digital no funciona. El README dice que se probó en Switch 2 con los firmwares 20.4.0 y 23.0.1 y en Switch 1 con el firmware 22.5.0, y que debería funcionar desde el firmware 20 hasta el 23.0.1. La instalación borra las partidas guardadas de un jugador de Civilization VII en la consola. Límites: corre solo en userland, sin kernel, sin CFW (sistema modificado) y sin loader de backups. Es investigación y prueba de concepto, con riesgo de brick y baneo. Créditos, según el README: la base del código viene de Netflix-N-Hack, y el programa del microcontrolador, de Pico-Switch-Controller. GBAtemp señala que los juegos usados en exploits suelen agotarse rápido. Este sitio no publica pasos ni enlaces de descarga.