Gezine lança o CivSwitch 1.0, uma falha no chat de Civilization VII que roda código no Switch 2 a partir do save, em prova de conceito
Em 1º de novembro de 2026, o desenvolvedor Gezine lançou o CivSwitch 1.0. Ele usa uma falha de XSS no chat do multijogador da edição de Switch 1 do Civilization VII: o chat aceita um texto que acaba sendo executado como código. Com isso, o console roda código JavaScript em userland, ou seja, só no nível dos apps, sem acesso ao núcleo do sistema. É o exploit (o jeito de aproveitar a falha) por cartucho físico que Gezine já tinha mencionado. Em linhas gerais, um pequeno microcontrolador se passa por um teclado USB e digita o código no chat; depois, uma etapa de instalação feita a partir de um computador grava o código no save do jogo, e a partir daí ele roda sempre que esse save é carregado ao abrir o jogo, sem precisar de computador nem do SmileBASIC.
@gezine_dev · X · 01/11/2026
Contexto
Segundo o README do projeto, só é compatível a versão 1.0.0 do jogo em cartucho físico. Segundo o autor, a versão de Switch 2 é code-in-a-box (a caixa traz só um código para baixar o jogo, sem o jogo no cartucho) e a versão digital não funciona. O README diz que foi testado no Switch 2 nos firmwares 20.4.0 e 23.0.1 e no Switch 1 no firmware 22.5.0, e que deve funcionar do firmware 20 em diante até o 23.0.1. A instalação apaga as partidas salvas de um jogador do Civilization VII no console. Os limites: roda só em userland, sem kernel, sem CFW (sistema modificado) e sem loader de backup. É pesquisa e prova de conceito, com risco de brick e ban. Créditos, segundo o README: a base do código vem do Netflix-N-Hack, e o programa do microcontrolador, do Pico-Switch-Controller. A GBAtemp observa que jogos usados em exploits costumam esgotar rápido. Este site não publica passo a passo nem links de download.