Capcom приостанавливает продажи Street Fighter V, пока продолжаются работы по обеспечению безопасности PHP

27 октября 2026 года Capcom сообщила, что сетевые функции версий Street Fighter V для PlayStation 4 и Steam по-прежнему недоступны: компания работает над усилением защиты, связанной с языком программирования PHP, который используется в этих версиях. Продажи игры в PlayStation Store и Steam будут приостанавливать поэтапно до завершения исправления.

В уведомлении, опубликованном в официальном аккаунте Street Fighter, издатель сообщил, что для решения проблемы проводится экстренное техническое обслуживание. В уведомлении также говорилось, что контент, доступный в автономном режиме, по-прежнему можно использовать, а Capcom принесла извинения за неудобства.

Приостановка продаж уже заметна в магазине Valve. На странице Street Fighter V в Steam размещено уведомление: «Street Fighter V больше не доступна в магазине Steam».

На официальном сайте Capcom Fighters Network игры, CAPCOM:Shadaloo C.R.I., отображается страница технического обслуживания с сообщением: «В настоящее время проводится техническое обслуживание. Пожалуйста, подождите немного».

Уведомление об экстренном техническом обслуживании опубликовано 23 октября

23 октября 2026 года в 6:05 утра по восточному летнему времени (EDT) Capcom опубликовала уведомление об экстренном техническом обслуживании на странице новостей Street Fighter V в Steam. В нем компания сообщила, что из-за усиления защиты, связанного с языком программирования PHP, контент с сетевыми функциями стал недоступен, контент, доступный в автономном режиме, оставался доступен, а для устранения проблемы проводилось экстренное техническое обслуживание.

В проекте PHP устранили две критические уязвимости

20 октября 2026 года команда безопасности PHP предварительно уведомила о выпуске обновления безопасности, запланированном на 21 октября 2026 года в 14:00 UTC. Команда сообщила, что обновление устранит две критические уязвимости, каждой из которых присвоена оценка 9,2 по шкале серьезности CVSS v4.0, и оставила за собой право выпустить его раньше, если сведения об уязвимостях станут общедоступны или появятся свидетельства их активной эксплуатации.

21 октября 2026 года проект выпустил PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Эти выпуски устраняют CVE-2026-109618 и CVE-2026-109619 — две критические уязвимости, которые могут позволить удаленно выполнить код без аутентификации. Команда PHP настоятельно рекомендовала всем пользователям немедленно установить обновления, заявив, что способов полностью устранить риск нет.

Согласно уведомлению проекта о безопасности, риску подвержены все установки PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Команда считает, что наибольшему риску подвержен mod_php: продемонстрированная эксплуатация уязвимости показывает, что запрос без аутентификации может запустить атаку до выполнения какого-либо кода приложения.

В уведомлении GitHub об уязвимости CVE-2026-109618 под названием «Удаленное выполнение кода из-за повреждения данных при нехватке памяти» описана ошибка, при которой нехватка памяти может привести к прерыванию обработки запроса, пока его внутренние данные инициализированы лишь частично, из-за чего процедуры завершения работы обрабатывают некорректное состояние. Команда безопасности PHP сообщила, что подтвердила возможность полного удаленного выполнения кода по HTTP через mod_php при стандартных ограничениях на ввод данных и объем памяти. Уязвимы версии ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

В уведомлении об уязвимости CVE-2026-109619 под названием «Удаленное выполнение кода из-за устаревшего глобального состояния» описано внутреннее состояние, принадлежащее одному запросу, которое сохраняется после освобождения памяти, где оно хранилось. Поэтому следующий запрос, обработанный тем же рабочим процессом, может обратиться к устаревшему состоянию до того, как обычная инициализация его сбросит, что приводит к использованию памяти после ее освобождения. Команда сообщила, что подтвердила возможность удаленного выполнения кода через mod_php и FPM по пути обработки загрузки файла с отслеживанием прогресса сессии, и отметила, что для эксплуатации уязвимости запросы, создающий и использующий это состояние, должны попасть в один и тот же рабочий процесс.

После выпусков от 21 октября проект PHP опубликовал дополнительные уведомления. 23 октября 2026 года он рекомендовал установить значение session.upload_progress.enabled=0 до выхода следующего планового выпуска с исправлениями ошибок и сообщил, что вместе с этим выпуском опубликует полное уведомление об уязвимости CVE-2026-115560. По описанию проекта, для возникновения этой проблемы требуется необычное сочетание настроек и кода приложения. 26 октября 2026 года проект объявил о выходе обновленных сборок для Windows: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1. В них включена Brotli 1.2.1, устраняющая CVE-2026-111497 — ошибку записи за пределы буфера при распаковке Brotli, которой можно воспользоваться через расширение cURL, если включена автоматическая распаковка HTTP-ответов. Проект отметил, что по умолчанию этот параметр отключен в cURL, однако его могут включить приложения и библиотеки HTTP-клиентов.

Для более старых веток команда безопасности PHP подготовила минимальные бэкпорты исправлений в исходный код для PHP 7.4, 8.0 и 8.1; проект больше не выпускает обновления для PHP 8.1 и более ранних версий. Поддержка PHP 8.2 завершится 31 декабря 2026 года, и после этой даты обновления безопасности для него выпускаться не будут.

Предыстория Street Fighter V

Street Fighter V вышла 15 февраля 2016 года. Разработанная и изданная CAPCOM Co., Ltd., эта игра-файтинг была выпущена для PlayStation 4 и ПК, а версия в Steam поддерживает кроссплатформенную игру между пользователями PlayStation 4 и Steam.

Согласно официальному сайту Capcom, Street Fighter V: Champion Edition включает весь контент из первоначальной версии и Street Fighter V: Arcade Edition, за исключением костюмов Fighting Chance, костюмов из коллабораций с брендами и дополнений DLC для Capcom Pro Tour. Всего в игре 40 персонажей, 34 арены и более 200 костюмов. Все дополнения для игровых режимов и обновления баланса бесплатны для владельцев любой версии Street Fighter V. Кроме того, как сообщает Capcom, всех персонажей из DLC можно получить бесплатно, выполняя внутриигровые испытания, за которые начисляется Fight Money — игровая валюта.