Project Zomboid Build 42.18.0 Unstable Patch Notes (Mai 2026)

The Indie Stone hat Project Zomboid Build 42.18.0 am 11. Mai 2026 auf die Unstable-Branch geschoben. Aus Sicht eines Server-Operators ist das einer der wichtigsten Patches im b42-Zyklus bisher. Eine RakNet DoS-Lücke wurde gepatcht, zwei bestätigte Item-Duplikations-Exploits geschlossen, das Non-PVP-Vehicle-Interaktionsmodell komplett neu geschrieben, und ein leiser aber kritischer Whitelist-Auth-Bug, der Spielern erlaubte, sich mit nur dem Benutzernamen in fremde Charaktere einzuloggen, entfernt.

Wenn du einen MP-PZ-Server fährst: lies den Security-Abschnitt zuerst.

Auf Build 42.18.0 Unstable umsteigen

42.18.0 liegt auf der Unstable Beta-Branch, nicht Stable. So opt-inst du:

1. Rechtsklick Project Zomboid in deiner Steam-Bibliothek.
2. Wähle Eigenschaften.
3. Unter Spielversion & Betas wähle Unstable.

Dein Server-Build muss zum Client passen. Stellst du eine Community-Server auf Unstable, müssen alle Verbindenden auch Unstable haben. Für die meisten Live-Communities ist es sicherer, 1-2 Wochen zu warten bis 42.18.x auf Stable rollt. Die Security-Fixes sind aber Grund genug, das Update-Fenster jetzt zu planen, nicht später.

Security: RakNet DoS, Dupe-Exploits und Whitelist-Auth

Der wichtige Teil für jeden mit öffentlichem PZ-Server.

RakNet DoS-Lücke gepatcht

Build 42.18 schließt eine RakNet DoS-Lücke, gemeldet von einem Community-Beitragenden namens Cat. RakNet ist die Netzwerk-Lib unter PZ, das ist also eine Pre-Auth-Fläche: ein Angreifer musste nicht auf der Whitelist sein, um den Server zu crashen. Es gibt keinen öffentlichen PoC und The Indie Stone bestätigt nur den Fix, nicht den genauen Vektor.

Action: wenn dein Server auf dem offenen Internet exponiert ist (nicht nur über Discord-IP geteilt), plane das 42.18-Update früher statt später.

Zwei Duplikations-Exploits geschlossen

42.18 schließt zwei bestätigte Dupes, die schon eine Weile zirkulieren:

• Backpack-Duplikation, die den Rucksack mitsamt Inhalt kopierte.
• Forging-Duplikation, die pro Craft ein extra Item ausgab.

Beide brauchten keine Mods und funktionierten auf jedem Vanilla-MP-Server. Wenn dir in den letzten Wochen Spieler mit verdächtig viel High-Tier-Gear aufgefallen sind, ist das vermutlich der Weg. Es gibt kein Rollback-Tool, aber ein pinned Post auf Discord über die Schließung plus ein leichter Loot-Wipe ist die sauberste Reset-Option.

Whitelist-Auth: AutoCreateUserInWhiteList entfernt

Die versteckte Security-Schlagzeile ist diese Zeile:

Removed AutoCreateUserInWhiteList setting. This fixes an issue where in some instances another user could log in to a character by only knowing the username.

Wenn du AutoCreateUserInWhiteList=true auf deinem Server hattest (Default in vielen Community-Configs), konnte ein Spieler sich mit dem Benutzernamen eines anderen verbinden, und der Server legte einen Whitelist-Eintrag für ihn an. Das ist Character-Takeover. Das Setting ist in 42.18 weg, der Auth-Flow braucht jetzt einen echten Whitelist-Eintrag zuerst.

Wenn du Whitelist-Export aus einem Discord-Bot oder Website-Signup pflegst, prüfe nach dem Update, dass der Import noch sauber durchläuft.

Non-PVP Vehicle Interactions: komplett neu

42.18 schreibt um, wie Fahrzeuge mit Non-PVP-Spielern interagieren. Das alte Verhalten, wo ein vorbeifahrendes Auto einen befreundeten Spieler staggern oder töten konnte, war eine lange Beschwerde auf Community-Servern. Nach 42.18:

• Non-PVP-Spieler nehmen keinen Schaden mehr durch Fahrzeugaufprall.
• PVP-Spieler nehmen weiterhin Schaden, wenn PlayerDamageFromVehicleImpact nicht auf None gesetzt ist.
• PVP-Spieler können von Fahrzeugen umgeworfen werden, wenn KnockedDownAllowed=true.
• Non-PVP-Spieler werden nicht mehr staggered oder umgeworfen durch Vehicle Impacts.
• Non-PVP-Spieler beschädigen keine Fahrzeuge mehr durch Kontakt.
• Persistent pedestrian contacts verursachen keinen Max-Schaden mehr an Autos.

Reine Verbesserung für PvE-Server. Für PvP-Server ändert sich per Default nichts.

Umbenannte Server-Settings (Config prüfen)

Zwei Settings haben neue Namen. Wenn deine servertest.ini aus einer Community-Anleitung stammt:

• DisableSafehouseWhenPlayerConnected heißt jetzt DisableSafehouseWhenOwnerConnected. Der neue Name passt zu dem, was das Setting tatsächlich macht.
• "Wars" setting ist jetzt per Default disabled. Hast du PvP auf der Default gefahren, musst du es jetzt explizit aktivieren.

Hat deine Config noch den alten Key, ignoriert der Server ihn beim nächsten Boot wahrscheinlich einfach. Nach dem Update gegenchecken.

Weitere MP-Fixes

Eine Auswahl aus der MP-Fix-Liste, die auf Community-Servern spürbar ist:

• Server hangs on world save creation behoben.
• Anti-cheat false positive behoben.
• Vehicle-Desyncs: Clipping durcheinander, choppy Trailer für Remote-Spieler, zu viel Kollisionsschaden.
• Mannequin Clothing verschwindet visuell nach Relog behoben.
• Dyed Clothing wechselt Farbe nur beim Droppen behoben.
• Calorie Burn Rate falsch im Fahrzeug sitzend behoben (dieser hat leise die Food Economy langlaufender Server gebrochen).
• Body Damage & Muscle Strain durch Overencumbrance akkumuliert auf MP nicht mehr 4x schneller.
• "distant vehicle" Audio ist zurück, Spieler hören Autos wieder aus der Ferne.
• Redundante Fire- und Smoke-Anti-Cheats entfernt, redundante XP / XPPlayer Anti-Cheats und das unbenutzte AddXP-Paket entfernt.

Wer schwere Mod-Stacks fährt, sollte nach dem Update durchtesten.

Neuer Content und Balance

Vor allem ein MP- und Fixes-Patch, aber ein paar Änderungen für Spieler:

Neu

• Neue Weapon Reload Animations für Lever Action Rifles und Shotguns.
• Accessibility: Auto-Pause beim Karten-Lesen (bekannter Issue: friert Karte auf Controllern ein).
• Neue Keybind Sit on Ground.
• Neue Garbage Bin Assets für Spiffos und PizzaWhirled.

Balance

• Park Ranger hat jetzt +1 Carving statt +1 Tracking.
• Rancher hat jetzt +1 Fitness statt +1 Agriculture.
• Improvised Gas Mask rebalanced: saubere Lumpen als Rag Filters, schwächer als kommerzielle Respiratoren aber stärker als ein Bandana.
• Fluid Container Kapazitäten: Jerry Can 10L auf 20L, militärische Feldflaschen 500ml auf 900ml, Cowboy Canteen 1L auf 1.8L, Hydration Backpacks 1L auf 2L (3L Camo).
• Leere Bierflasche von 1L auf 300ml.

Modding API

Für Server-Operatoren mit Mod-Stacks:

• Non-base Module Recipes funktionieren jetzt im MP.
• Neues SyncFactionServer(factionName, isRemove)-Event bei jeder Faction-Änderung.
• Neue Public Methods auf Zombies: doCrawlerSpeed(zombieSpeed), doSprinter(), doFastShambler(), doFakeShambler(), doShambler(), getSpeedType().
• getModTags() und setTags() auf CraftRecipe, getItems() auf InputScript.
• Mod Foraging Icon Bug behoben: Mod-Items können wieder foragiert werden.
• Texture-Feld auf Trait Script.

Wer eine Faction-Mod oder Difficulty-Mod shipped, sollte einen Smoke-Test auf Unstable machen, bevor 42.18 in die Community geht.

Live-Server jetzt auf Unstable umstellen?

Ehrliche Antwort für Community-Server-Hoster:

• Öffentlicher Server mit security-sensitivem Publikum: Maintenance-Window in den nächsten 7 Tagen planen.
• Privater Freundes-Server: warten, bis 42.18 auf Stable landet.
• Mods gegen 42.18 vor Stable testen: Dev-Server umstellen, nicht das Live-Community.

In jedem Fall: Save vor dem Update sichern.

Hoste deinen Project Zomboid Server bei DoomHosting

Wenn du einen frischen Server für 42.18 hochziehst oder von einer laggy Box wegmigrierst, laufen DoomHosting's Project Zomboid Server auf Ryzen 9-Hardware mit Instant-Setup, vollem FTP-Zugriff zum direkten Editieren von servertest.ini und Sandboxvars.lua, Steam Workshop One-Click-Mod-Installs, DDoS-Schutz und 24/7-Support. Preise skalieren mit RAM, du zahlst nicht für ungenutzte Slots.

Bleibt sicher da draußen, Kentucky.