Capcom schort de verkoop van Street Fighter V op terwijl het beveiligingswerk aan PHP doorgaat

Capcom maakte op 27 oktober 2026 bekend dat de onlinefunctionaliteit in de PlayStation 4- en Steam-versies van Street Fighter V nog steeds niet beschikbaar is. Het bedrijf werkt aan een betere beveiliging van de PHP-programmeertaal die in die versies wordt gebruikt. Ook meldde Capcom dat de verkoop in de PlayStation Store en op Steam gefaseerd wordt opgeschort totdat de oplossing is voltooid.

In een bericht op het officiële Street Fighter-account liet de uitgever weten dat er noodonderhoud wordt uitgevoerd om het probleem aan te pakken. Volgens het bericht blijft de offlinecontent speelbaar. Capcom bood excuses aan voor het ongemak.

De opschorting is al zichtbaar in de winkel van Valve. De Steam-pagina van Street Fighter V vermeldt: “Street Fighter V is niet langer verkrijgbaar in de Steam-winkel.”

De officiële website van Capcom Fighters Network voor de game, CAPCOM:Shadaloo C.R.I., toont een onderhoudspagina met de tekst: “We voeren momenteel onderhoud uit. Een ogenblik geduld.”

Melding van noodonderhoud geplaatst op 23 oktober

Capcom plaatste op 23 oktober 2026 om 6.05 uur EDT een melding van noodonderhoud op de Steam-nieuwspagina van Street Fighter V. Het bedrijf liet daarin weten dat content met onlinefuncties vanwege beveiligingsverbeteringen in verband met de PHP-programmeertaal niet beschikbaar was, dat content die offline speelbaar is beschikbaar bleef en dat er noodonderhoud werd uitgevoerd om het probleem op te lossen.

PHP-project verhelpt twee kritieke kwetsbaarheden

Op 20 oktober 2026 gaf het PHP-beveiligingsteam vooraf bericht over een beveiligingsrelease die gepland stond voor 21 oktober 2026 om 14.00 uur UTC. Het team meldde dat de release twee kritieke kwetsbaarheden zou verhelpen, die allebei een ernstscore van 9,2 kregen volgens de CVSS v4.0-schaal. Het team behield zich het recht voor de release eerder uit te brengen als details openbaar zouden worden of als er aanwijzingen voor actieve misbruikpogingen in het wild zouden opduiken.

Het project bracht op 21 oktober 2026 PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit. Deze releases verhelpen CVE-2026-109618 en CVE-2026-109619, twee kritieke kwetsbaarheden die uitvoering van code op afstand zonder authenticatie mogelijk kunnen maken. Het PHP-team drong er bij alle gebruikers op aan onmiddellijk bij te werken en verklaarde dat er geen volledige maatregelen zijn om het risico te beperken.

Volgens het beveiligingsadvies van het project lopen alle PHP-installaties die webverzoeken afhandelen risico, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het team acht het risico het grootst voor mod_php, omdat er een exploit is aangetoond waarbij een verzoek zonder authenticatie de aanval kan starten voordat er applicatiecode wordt uitgevoerd.

Het GitHub-beveiligingsadvies voor CVE-2026-109618, met als titel uitvoering van code op afstand via OOM-corruptie, beschrijft een fout waarbij een geheugentekort een verzoek kan afbreken terwijl de interne gegevens ervan nog maar gedeeltelijk zijn geïnitialiseerd. Daardoor kunnen afsluitroutines een ongeldige status verwerken. Het PHP-beveiligingsteam zei dat het volledige uitvoering van code op afstand via HTTP had gevalideerd tegen mod_php met de standaardlimieten voor invoer en geheugen. Versies ouder dan 8.2.35, 8.3.36, 8.4.27 en 8.5.12 zijn kwetsbaar.

Het beveiligingsadvies voor CVE-2026-109619, uitvoering van code op afstand via verouderde globale status, beschrijft interne status die bij één verzoek hoort en blijft bestaan nadat het geheugen erachter is vrijgegeven. Daardoor kan een later verzoek dat door dezelfde worker wordt afgehandeld die verouderde status gebruiken voordat de normale initialisatie deze reset, wat leidt tot een use-after-free-fout. Het team meldde dat uitvoering van code op afstand was gevalideerd tegen mod_php en FPM via een pad voor de voortgang van sessie-uploads. Voor misbruik moeten het verzoek dat de status aanmaakt en het verzoek dat deze gebruikt door dezelfde worker worden afgehandeld.

Na de releases van 21 oktober publiceerde het PHP-project nog meer beveiligingsadviezen. Op 23 oktober 2026 adviseerde het project om session.upload_progress.enabled=0 in te stellen tot de volgende reguliere bugfixrelease. Ook liet het weten bij die release een volledig advies voor CVE-2026-115560 te publiceren. Het onderliggende probleem vereist volgens het project een ongebruikelijke combinatie van configuratie en applicatiecode. Op 26 oktober 2026 kondigde het project bijgewerkte Windows-builds aan: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 en 8.2.35-1. Deze bevatten Brotli 1.2.1, waarmee CVE-2026-111497 wordt verholpen: een schrijfactie buiten de grenzen bij Brotli-decompressie die kan worden bereikt via de cURL-extensie wanneer automatische decompressie van HTTP-antwoorden is ingeschakeld. Die optie is standaard uitgeschakeld in cURL, maar applicaties en HTTP-clientbibliotheken kunnen deze wel inschakelen, aldus het project.

Voor oudere versietakken leverde het PHP-beveiligingsteam minimale backports van broncode voor PHP 7.4, 8.0 en 8.1. PHP 8.1 en oudere versies ontvangen geen updates meer van het project. PHP 8.2 bereikt op 31 december 2026 het einde van de levenscyclus en ontvangt na die datum geen beveiligingsupdates meer.

Achtergrond over Street Fighter V

Street Fighter V verscheen op 15 februari 2016. De vechtgame is ontwikkeld en uitgegeven door CAPCOM Co., Ltd. en verscheen voor PlayStation 4 en pc. De Steam-versie biedt crossplay tussen spelers op PlayStation 4 en Steam.

Volgens de officiële website van Capcom bevat Street Fighter V: Champion Edition alle content uit de oorspronkelijke versie en Street Fighter V: Arcade Edition, met uitzondering van Fighting Chance-kostuums, kostuums uit merksamenwerkingen en Capcom Pro Tour-downloadbare content. In totaal gaat het om 40 personages, 34 levels en meer dan 200 kostuums. Alle toevoegingen aan speltypen en balansupdates zijn gratis voor bezitters van elke versie van Street Fighter V. Ook kunnen alle DLC-personages gratis worden vrijgespeeld via uitdagingen in de game, waarmee Fight Money, de valuta van de game, kan worden verdiend, aldus Capcom.