PHP 보안 작업이 계속되는 가운데 Street Fighter V 판매를 중단한 Capcom

Capcom은 2026년 10월 27일, PlayStation 4 및 Steam 버전 Street Fighter V에서 사용되는 PHP 프로그래밍 언어와 관련한 보안을 강화하는 작업을 진행 중이어서 온라인 기능을 계속 이용할 수 없으며, 수정 작업이 완료될 때까지 PlayStation Store와 Steam에서 단계적으로 판매를 중단할 예정이라고 밝혔다.

공식 Street Fighter 계정에 게시한 공지에서 배급사는 해당 문제를 해결하기 위한 긴급 점검이 진행 중이라고 밝혔다. 공지에 따르면 오프라인 콘텐츠는 계속 플레이할 수 있으며, Capcom은 불편을 끼쳐 사과했다.

판매 중단은 이미 Valve의 스토어 페이지에 반영됐다. Steam의 Street Fighter V 페이지에는 “Street Fighter V는 더 이상 Steam 스토어에서 이용할 수 없습니다.”라는 안내가 표시된다.

게임의 공식 Capcom Fighters Network 웹사이트인 CAPCOM:Shadaloo C.R.I.에는 다음과 같은 점검 페이지가 표시되고 있다. “현재 점검 중입니다. 잠시만 기다려 주세요.”

10월 23일 긴급 점검 공지 게시

Capcom은 2026년 10월 23일 오전 6시 5분(EDT), Street Fighter V Steam 뉴스 페이지에 긴급 점검 공지를 게시했다. 회사는 공지에서 PHP 프로그래밍 언어와 관련한 보안 강화 조치로 온라인 기능을 사용하는 콘텐츠를 이용할 수 없으며, 오프라인으로 플레이할 수 있는 콘텐츠는 계속 이용 가능하고, 문제 해결을 위한 긴급 점검이 진행 중이라고 밝혔다.

PHP 프로젝트, 두 건의 치명적 취약점 패치

2026년 10월 20일, PHP 보안팀은 2026년 10월 21일 14:00 UTC에 배포할 보안 업데이트를 사전 공지했다. 보안팀은 해당 업데이트에서 CVSS v4.0 심각도 등급 기준 9.2로 평가된 두 건의 치명적 취약점을 해결할 예정이라고 밝혔다. 또한 세부 정보가 공개되거나 실제 환경에서 공격이 활발히 이뤄지고 있다는 증거가 나타날 경우 업데이트를 앞당겨 배포할 권리를 유보했다.

PHP 프로젝트는 2026년 10월 21일 PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35를 배포했다. 이 업데이트는 인증되지 않은 원격 코드 실행을 허용할 수 있는 두 건의 치명적 취약점 CVE-2026-109618 및 CVE-2026-109619를 수정한다. PHP 팀은 완전한 대응책이 없다고 밝히며 모든 사용자에게 즉시 업데이트할 것을 촉구했다.

프로젝트의 보안 권고에 따르면 PHP-FPM, mod_php를 사용하는 Apache, php-cgi, FrankenPHP 및 LiteSpeed를 포함해 웹 요청을 처리하는 모든 PHP 설치가 위험에 노출돼 있다. 보안팀은 특히 mod_php의 위험이 가장 크다고 판단했다. 인증되지 않은 요청이 애플리케이션 코드 실행 전에 공격을 촉발할 수 있음이 입증됐기 때문이다.

CVE-2026-109618에 관한 GitHub 보안 권고는 제목이 OOM 손상으로 인한 원격 코드 실행이며, 메모리 부족 오류로 요청이 중단될 때 내부 데이터가 부분적으로만 초기화된 상태여서 종료 처리 루틴이 유효하지 않은 상태를 처리하게 되는 취약점을 설명한다. PHP 보안팀은 기본 입력 및 메모리 제한이 적용된 mod_php를 대상으로 HTTP를 통한 완전한 원격 코드 실행을 검증했다고 밝혔다. 8.2.35, 8.3.36, 8.4.27 및 8.5.12보다 이전 버전이 영향을 받는다.

CVE-2026-109619에 관한 보안 권고인 오래된 전역 상태를 통한 원격 코드 실행은 한 요청에 속한 내부 상태가 그 상태가 저장된 메모리가 해제된 뒤에도 남아 있어, 같은 워커가 처리하는 후속 요청이 정상적인 초기화로 상태가 재설정되기 전에 해당 잔존 상태를 이용할 수 있고 그 결과 해제 후 사용(use-after-free) 문제가 발생하는 취약점을 설명한다. 보안팀은 세션 업로드 진행 경로를 통해 mod_php 및 FPM에서 원격 코드 실행이 가능한 것을 검증했다고 밝혔다. 또한 취약점 악용을 위해서는 상태를 생성하는 요청과 이를 사용하는 요청이 같은 워커에 도달해야 한다고 설명했다.

PHP 프로젝트는 10월 21일 업데이트 이후 추가 보안 권고를 발표했다. 2026년 10월 23일에는 다음 정기 버그 수정 릴리스까지 session.upload_progress.enabled=0으로 설정할 것을 권고했으며, 해당 릴리스와 함께 CVE-2026-115560에 관한 전체 보안 권고를 발표하겠다고 밝혔다. 프로젝트는 이 문제의 근본 원인이 이례적인 설정과 애플리케이션 코드의 조합을 필요로 한다고 설명했다. 2026년 10월 26일에는 업데이트된 Windows 빌드인 PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 및 8.2.35-1을 발표했다. 이 빌드에는 Brotli 압축 해제 과정에서 발생하는 범위 초과 쓰기 문제인 CVE-2026-111497을 수정하기 위해 Brotli 1.2.1이 포함됐다. 이 문제는 자동 HTTP 응답 압축 해제가 활성화된 경우 cURL 확장을 통해 발생할 수 있다. 프로젝트에 따르면 cURL에서는 해당 옵션이 기본적으로 비활성화돼 있지만, 애플리케이션과 HTTP 클라이언트 라이브러리에서 활성화할 수 있다.

이전 브랜치의 경우 PHP 보안팀은 PHP 7.4, 8.0 및 8.1에 적용할 최소한의 소스 코드 백포트를 제공했다. PHP 8.1 및 이전 버전은 더 이상 프로젝트의 업데이트를 받지 않는다. PHP 8.2는 2026년 12월 31일에 지원이 종료되며, 해당 날짜 이후에는 보안 수정 사항을 더 이상 제공받지 않는다.

Street Fighter V 개요

Street Fighter V는 2016년 2월 15일 출시됐다. CAPCOM Co., Ltd.가 개발하고 배급한 이 대전 격투 게임은 PlayStation 4와 PC용으로 출시됐으며, Steam 버전에서는 PlayStation 4와 Steam 플레이어 간 크로스 플랫폼 플레이를 지원한다.

Capcom의 공식 웹사이트에 따르면 Street Fighter V: Champion Edition에는 원작과 Street Fighter V: Arcade Edition의 모든 콘텐츠가 포함되어 있습니다. 단, Fighting Chance 의상, 브랜드 협업 의상, Capcom Pro Tour DLC는 제외됩니다. 총 캐릭터 수는 40명, 스테이지는 34개이며 의상은 200개가 넘습니다. 게임 모드 추가 콘텐츠와 밸런스 업데이트는 Street Fighter V의 모든 버전 소유자에게 무료로 제공됩니다. 또한 모든 DLC 캐릭터는 게임 내 화폐인 Fight Money를 보상으로 지급하는 도전 과제를 통해 무료로 획득할 수 있다고 Capcom은 밝혔습니다.