PHPのセキュリティ対策が続くなか、CapcomがStreet Fighter Vの販売を一時停止

Capcomは2026年10月27日、PlayStation 4版とSteam版のStreet Fighter Vについて、各バージョンで使用されているPHPプログラミング言語に関連するセキュリティ強化に取り組んでいるため、オンライン機能が引き続き利用できないと発表した。また、修正が完了するまで、PlayStation StoreとSteamでの販売を段階的に停止するという。

Street Fighterの公式アカウントに掲載した告知で、同社は問題に対処するための緊急メンテナンスを実施中だと発表した。告知によると、オフラインコンテンツは引き続きプレイ可能で、Capcomは不便をかけることを謝罪した。

販売停止は、すでにValveのストアにも反映されている。SteamのStreet Fighter Vページには、「Street Fighter VはSteamストアで販売されなくなりました」と表示されている。

ゲームの公式Capcom Fighters NetworkウェブサイトであるCAPCOM:Shadaloo C.R.I.には、「現在メンテナンスを実施しています。しばらくお待ちください」と表示されている。

10月23日に緊急メンテナンスを告知

Capcomは2026年10月23日午前6時5分（米東部夏時間）、Street Fighter VのSteamニュースページに緊急メンテナンスのお知らせを掲載した。同社は、PHPプログラミング言語に関連するセキュリティ強化のため、オンライン機能を使用するコンテンツは利用できなくなっている一方、オフラインでプレイできるコンテンツは引き続き利用可能であり、問題解決に向けて緊急メンテナンスを実施中だと説明した。

PHPプロジェクト、2件の重大な脆弱性にパッチを適用

2026年10月20日、PHPセキュリティチームは、2026年10月21日14時（協定世界時）にセキュリティリリースを予定していると事前に告知した。同チームによると、このリリースでは、CVSS v4.0の深刻度評価でいずれも9.2とされた2件の重大な脆弱性に対処する。また、詳細が公になった場合や、実際の環境で悪用されている証拠が確認された場合には、予定を前倒ししてリリースする権利を留保するとした。

PHPプロジェクトは2026年10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35をリリースした。これらのリリースでは、認証されていない攻撃者によるリモートコード実行を可能にするおそれのある、2件の重大な脆弱性CVE-2026-109618とCVE-2026-109619が修正されている。PHPチームは、完全な緩和策は存在しないと説明し、すべてのユーザーに直ちにアップデートするよう呼びかけた。

プロジェクトのセキュリティ勧告によると、PHP-FPM、mod_phpを使用するApache、php-cgi、FrankenPHP、LiteSpeedなど、ウェブリクエストを処理するすべてのPHP環境が危険にさらされている。同チームは、mod_phpのリスクが最も高いと見ている。アプリケーションコードが実行される前に、認証されていないリクエストによって攻撃を引き起こせることが実証されているためだ。

CVE-2026-109618に関するGitHubの勧告は、OOMによるメモリ破損を介したリモートコード実行と題されており、メモリ不足エラーによってリクエストが中断される際、内部データの初期化が不完全なままになる脆弱性について説明している。その結果、終了処理ルーチンが無効な状態を処理することになる。PHPセキュリティチームは、デフォルトの入力制限とメモリ制限を設定したmod_phpに対し、HTTP経由で完全なリモートコード実行が可能であることを検証したと発表した。8.2.35、8.3.36、8.4.27、8.5.12より前のバージョンが影響を受ける。

CVE-2026-109619に関する勧告の古いグローバル状態を介したリモートコード実行では、あるリクエストが所有する内部状態が、その状態の保存に使われたメモリが解放された後も残る脆弱性について説明している。このため、同じワーカーが処理する後続のリクエストが、通常の初期化処理で状態がリセットされる前に古い状態を参照し、解放後使用（use-after-free）を引き起こす可能性がある。同チームによると、セッションのアップロード進捗機能を経由して、mod_phpおよびFPMに対するリモートコード実行が可能であることを検証した。また、悪用には、状態を生成するリクエストとそれを利用するリクエストが同じワーカーに到達する必要がある。

PHPプロジェクトは、10月21日のリリース後にも追加の勧告を公開した。2026年10月23日には、次回の通常のバグ修正リリースまでsession.upload_progress.enabled=0に設定するよう推奨し、そのリリースに合わせてCVE-2026-115560の詳細な勧告を公開すると発表した。また、根本的な問題の発生には、通常とは異なる設定とアプリケーションコードの組み合わせが必要だと説明した。2026年10月26日には、Windows向けの更新ビルドとしてPHP 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1を発表した。これらのビルドには、Brotliの展開処理における範囲外書き込みの脆弱性CVE-2026-111497を修正するBrotli 1.2.1が含まれる。この脆弱性は、HTTPレスポンスの自動展開が有効な場合、cURL拡張機能を通じて到達する可能性がある。同プロジェクトによると、この設定はcURLではデフォルトで無効だが、アプリケーションやHTTPクライアントライブラリから有効にできる。

古いブランチについて、PHPセキュリティチームはPHP 7.4、8.0、8.1を対象に、最小限のソースコードのバックポートを提供した。PHP 8.1以前のバージョンは、プロジェクトによるアップデート提供がすでに終了している。PHP 8.2は2026年12月31日にサポート終了を迎え、その日以降はセキュリティ修正が提供されない。

Street Fighter Vの概要

Street Fighter Vは2016年2月15日に発売された。CAPCOM Co., Ltd.が開発・発売した対戦格闘ゲームで、PlayStation 4とPC向けにリリースされ、Steam版ではPlayStation 4版のプレイヤーとSteam版のプレイヤーがクロスプラットフォームで対戦できる。

Capcomの公式サイトによると、「Street Fighter V: Champion Edition」には、初期リリース版と「Street Fighter V: Arcade Edition」の全コンテンツが収録されています。ただし、「Fighting Chance」のコスチューム、ブランドとのコラボコスチューム、「Capcom Pro Tour」のDLCは除外されます。収録内容は合計でキャラクター40人、ステージ34種、コスチューム200着以上です。ゲームモードの追加要素とバランス調整は、「Street Fighter V」のどのバージョンを所有していても無料で利用できます。また、Capcomによると、ゲーム内通貨「Fight Money」を獲得できるチャレンジを通じて、すべてのDLCキャラクターを無料で入手できます。