Capcom Menangguhkan Penjualan Street Fighter V Sementara Upaya Pengamanan PHP Berlanjut

Capcom menyatakan pada 27 Oktober 2026 bahwa fungsi daring dalam Street Fighter V versi PlayStation 4 dan Steam masih belum tersedia karena perusahaan sedang memperkuat keamanan yang terkait dengan bahasa pemrograman PHP yang digunakan dalam versi tersebut. Penjualan di PlayStation Store dan Steam juga akan dihentikan secara bertahap sampai perbaikan selesai.

Dalam pemberitahuan yang diunggah ke akun resmi Street Fighter, penerbit menyatakan bahwa pemeliharaan darurat sedang berlangsung untuk mengatasi masalah tersebut. Pemberitahuan itu menyebutkan bahwa konten yang dapat dimainkan secara luring tetap tersedia, dan Capcom meminta maaf atas ketidaknyamanan yang terjadi.

Penangguhan tersebut sudah terlihat di toko digital milik Valve. Halaman Street Fighter V di Steam menampilkan pemberitahuan: “Street Fighter V tidak lagi tersedia di toko Steam.”

Situs web resmi jaringan Capcom Fighters untuk gim ini, CAPCOM:Shadaloo C.R.I., menampilkan halaman pemeliharaan dengan tulisan: “Kami sedang melakukan pemeliharaan. Harap tunggu sebentar.”

Pemberitahuan Pemeliharaan Darurat Diunggah pada 23 Oktober

Capcom mengunggah Pemberitahuan Pemeliharaan Darurat di halaman berita Steam Street Fighter V pada 23 Oktober 2026 pukul 06.05 EDT. Dalam pemberitahuan tersebut, perusahaan menyatakan bahwa konten yang menggunakan fitur daring tidak tersedia karena peningkatan keamanan terkait bahasa pemrograman PHP, konten yang dapat dimainkan secara luring tetap tersedia, dan pemeliharaan darurat sedang berlangsung untuk mengatasi masalah tersebut.

Proyek PHP Menambal Dua Kerentanan Kritis

Pada 20 Oktober 2026, tim keamanan PHP memberikan pemberitahuan awal tentang rilis keamanan yang dijadwalkan pada 21 Oktober 2026 pukul 14.00 UTC. Tim tersebut menyatakan bahwa rilis itu akan mengatasi dua kerentanan kritis, yang masing-masing mendapat peringkat 9,2 pada skala tingkat keparahan CVSS v4.0. Tim juga menyatakan berhak merilisnya lebih awal jika detailnya diketahui publik atau ditemukan bukti eksploitasi aktif di dunia nyata.

Proyek PHP merilis PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026. Rilis tersebut memperbaiki CVE-2026-109618 dan CVE-2026-109619, dua kerentanan kritis yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Tim PHP mendesak semua pengguna untuk segera memperbarui, dengan menyatakan bahwa belum ada mitigasi yang sepenuhnya mengatasi masalah tersebut.

Menurut imbauan keamanan proyek tersebut, semua instalasi PHP yang melayani permintaan web berisiko, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Tim menilai risiko tertinggi ada pada mod_php, dengan mengacu pada eksploitasi yang telah diperagakan: permintaan tanpa autentikasi dapat memicu serangan sebelum kode aplikasi apa pun dijalankan.

Imbauan GitHub untuk CVE-2026-109618, yang berjudul Eksekusi kode jarak jauh melalui korupsi akibat kehabisan memori, menjelaskan celah yang menyebabkan kesalahan kehabisan memori membatalkan suatu permintaan ketika data internalnya baru diinisialisasi sebagian. Akibatnya, rutinitas penutupan memproses status yang tidak valid. Tim keamanan PHP menyatakan telah memvalidasi eksekusi kode jarak jauh secara penuh melalui HTTP terhadap mod_php dengan batas masukan dan memori bawaan. Versi sebelum 8.2.35, 8.3.36, 8.4.27, dan 8.5.12 terdampak.

Imbauan untuk CVE-2026-109619, Eksekusi kode jarak jauh melalui status global usang, menjelaskan bahwa status internal yang dimiliki suatu permintaan tetap ada setelah memori yang menyimpannya dibebaskan. Akibatnya, permintaan berikutnya yang ditangani oleh pekerja yang sama dapat menggunakan status usang tersebut sebelum inisialisasi normal mengatur ulangnya, sehingga terjadi penggunaan setelah pembebasan memori. Tim menyatakan bahwa eksekusi kode jarak jauh telah divalidasi terhadap mod_php dan FPM melalui jalur kemajuan unggahan sesi, dan eksploitasi mengharuskan permintaan yang menghasilkan dan menggunakan status tersebut ditangani oleh pekerja yang sama.

Proyek PHP menerbitkan imbauan tambahan setelah rilis 21 Oktober. Pada 23 Oktober 2026, proyek tersebut menyarankan agar session.upload_progress.enabled=0 ditetapkan sampai rilis perbaikan bug reguler berikutnya. Proyek itu juga menyatakan akan menerbitkan imbauan lengkap untuk CVE-2026-115560 bersamaan dengan rilis tersebut, dengan menjelaskan bahwa masalah yang mendasarinya memerlukan kombinasi konfigurasi dan kode aplikasi yang tidak lazim. Pada 26 Oktober 2026, proyek tersebut mengumumkan versi terbaru PHP untuk Windows, yaitu PHP 8.5.12-1, 8.4.27-1, 8.3.36-1, dan 8.2.35-1. Versi-versi ini menyertakan Brotli 1.2.1 untuk memperbaiki CVE-2026-111497, yaitu penulisan di luar batas saat dekompresi Brotli yang dapat terjadi melalui ekstensi cURL ketika dekompresi otomatis respons HTTP diaktifkan. Proyek tersebut menyatakan bahwa opsi itu dinonaktifkan secara bawaan di cURL, meskipun aplikasi dan pustaka klien HTTP dapat mengaktifkannya.

Untuk cabang versi yang lebih lama, tim keamanan PHP menyediakan port balik kode sumber minimal yang mencakup PHP 7.4, 8.0, dan 8.1; proyek tersebut tidak lagi memberikan pembaruan untuk PHP 8.1 dan versi yang lebih lama. Masa dukungan PHP 8.2 berakhir pada 31 Desember 2026, dan setelah tanggal itu versi tersebut tidak akan menerima perbaikan keamanan lagi.

Latar Belakang Street Fighter V

Street Fighter V dirilis pada 15 Februari 2016. Gim pertarungan ini dikembangkan dan diterbitkan oleh CAPCOM Co., Ltd., serta dirilis untuk PlayStation 4 dan PC. Versi Steam mendukung permainan lintas platform antara pemain PlayStation 4 dan Steam.

Menurut situs resmi Capcom, Street Fighter V: Champion Edition mencakup semua konten dari rilis awal dan Street Fighter V: Arcade Edition, kecuali kostum Fighting Chance, kostum hasil kolaborasi dengan merek lain, dan DLC Capcom Pro Tour. Secara keseluruhan, edisi ini mencakup 40 karakter, 34 arena, dan lebih dari 200 kostum. Semua tambahan mode permainan dan pembaruan keseimbangan tersedia gratis bagi pemilik versi Street Fighter V mana pun. Selain itu, semua karakter DLC dapat diperoleh secara gratis melalui tantangan dalam gim yang memberikan Fight Money, mata uang dalam gim tersebut, menurut Capcom.