Capcom suspend les ventes de Street Fighter V tandis que se poursuivent les travaux de sécurisation de PHP

Le 27 octobre 2026, Capcom a déclaré que les fonctionnalités en ligne des versions PlayStation 4 et Steam de Street Fighter V demeuraient indisponibles pendant que l’entreprise s’efforçait de renforcer la sécurité liée au langage de programmation PHP utilisé dans ces versions, et que les ventes sur le PlayStation Store et Steam seraient suspendues progressivement jusqu’à ce que le correctif soit terminé.

Dans un avis publié sur le compte officiel Street Fighter, l’éditeur a indiqué qu’une maintenance d’urgence était en cours pour résoudre le problème. L’avis précisait que le contenu jouable hors ligne restait accessible, et Capcom a présenté ses excuses pour la gêne occasionnée.

La suspension est déjà visible sur la boutique de Valve. La page de Street Fighter V sur Steam affiche le message suivant : « Street Fighter V n’est plus disponible sur la boutique Steam. »

Le site officiel du jeu, Capcom Fighters Network, CAPCOM:Shadaloo C.R.I., affiche une page de maintenance indiquant : « Une maintenance est actuellement en cours. Veuillez patienter un instant. »

Avis de maintenance d’urgence publié le 23 octobre

Le 23 octobre 2026 à 6 h 05 HAE, Capcom a publié un Avis de maintenance d’urgence sur la page d’actualités Steam de Street Fighter V. L’entreprise y indiquait qu’en raison de mesures de sécurité renforcées liées au langage de programmation PHP, le contenu faisant appel aux fonctionnalités en ligne était indisponible, que le contenu jouable hors ligne restait accessible et qu’une maintenance d’urgence était en cours pour résoudre le problème.

Le projet PHP corrige deux vulnérabilités critiques

Le 20 octobre 2026, l’équipe de sécurité PHP a donné un préavis concernant une mise à jour de sécurité prévue pour le 21 octobre 2026 à 14 h 00 UTC. L’équipe a indiqué que cette mise à jour corrigerait deux vulnérabilités critiques, toutes deux notées 9,2 sur l’échelle de gravité CVSS v4.0, et s’est réservé le droit de la publier plus tôt si des détails venaient à être rendus publics ou si des signes d’exploitation active étaient observés dans la nature.

Le projet a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre 2026. Ces versions corrigent CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités critiques susceptibles de permettre l’exécution de code à distance sans authentification. L’équipe PHP a exhorté tous les utilisateurs à effectuer la mise à jour immédiatement, précisant qu’il n’existait aucune mesure d’atténuation complète.

Selon l’avis de sécurité du projet, toutes les installations PHP qui traitent des requêtes web sont exposées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. L’équipe estime que le risque est le plus élevé pour mod_php, citant un exploit démontré dans lequel une requête non authentifiée peut déclencher l’attaque avant même l’exécution du moindre code de l’application.

L’avis GitHub concernant CVE-2026-109618, intitulé Exécution de code à distance par corruption liée à une erreur de mémoire insuffisante, décrit une faille dans laquelle une erreur de mémoire insuffisante peut interrompre une requête alors que ses données internes ne sont que partiellement initialisées, laissant les routines d’arrêt traiter un état invalide. L’équipe de sécurité PHP a déclaré avoir confirmé l’exécution complète de code à distance via HTTP contre mod_php, avec les limites par défaut d’entrée et de mémoire. Les versions antérieures à 8.2.35, 8.3.36, 8.4.27 et 8.5.12 sont concernées.

L’avis concernant CVE-2026-109619, Exécution de code à distance par état global périmé, décrit un état interne appartenant à une requête qui subsiste après la libération de la mémoire qui le contenait. Une requête ultérieure traitée par le même processus de travail peut alors utiliser cet état périmé avant que l’initialisation normale ne le réinitialise, ce qui entraîne une utilisation après libération. L’équipe a indiqué avoir confirmé l’exécution de code à distance contre mod_php et FPM par le biais d’un mécanisme de suivi de la progression des téléversements de session, et précisé que l’exploitation exige que les requêtes qui produisent et consomment cet état soient traitées par le même processus de travail.

Le projet PHP a publié d’autres avis après les versions du 21 octobre. Le 23 octobre 2026, il a recommandé de définir session.upload_progress.enabled=0 jusqu’à la prochaine version corrective régulière et a indiqué qu’il publierait un avis complet concernant CVE-2026-115560 avec cette version. Il a précisé que le problème sous-jacent nécessitait une combinaison inhabituelle de paramètres de configuration et de code applicatif. Le 26 octobre 2026, le projet a annoncé des versions mises à jour pour Windows — PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 et 8.2.35-1 — qui intègrent Brotli 1.2.1 afin de corriger CVE-2026-111497, une écriture hors limites lors de la décompression Brotli, qui peut être déclenchée par l’extension cURL lorsque la décompression automatique des réponses HTTP est activée. Le projet a indiqué que cette option est désactivée par défaut dans cURL, mais que les applications et les bibliothèques clientes HTTP peuvent l’activer.

Pour les anciennes branches, l’équipe de sécurité PHP a fourni des rétroportages minimaux du code source couvrant PHP 7.4, 8.0 et 8.1 ; le projet ne fournit plus de mises à jour pour PHP 8.1 et les versions antérieures. PHP 8.2 arrive en fin de vie le 31 décembre 2026 et ne recevra plus aucun correctif de sécurité après cette date.

Présentation de Street Fighter V

Street Fighter V est sorti le 15 février 2016. Développé et édité par CAPCOM Co., Ltd., ce jeu de combat est sorti sur PlayStation 4 et PC, et la version Steam propose le jeu multiplateforme entre les joueurs sur PlayStation 4 et Steam.

Selon le site officiel de Capcom, Street Fighter V: Champion Edition comprend tout le contenu de la version originale et de Street Fighter V: Arcade Edition, à l’exception des costumes Fighting Chance, des costumes issus de collaborations avec des marques et du contenu téléchargeable du Capcom Pro Tour, soit un total de 40 personnages, 34 stages et plus de 200 costumes. Tous les modes de jeu ajoutés et les mises à jour d’équilibrage sont gratuits pour les possesseurs de n’importe quelle version de Street Fighter V. Selon Capcom, tous les personnages DLC peuvent être obtenus gratuitement en relevant des défis en jeu qui rapportent des Fight Money, la monnaie du jeu.