Capcom ระงับการจำหน่าย Street Fighter V ระหว่างดำเนินงานด้านความปลอดภัยของ PHP

เมื่อวันที่ 27 ตุลาคม 2026 Capcom ระบุว่า ฟังก์ชันออนไลน์ใน Street Fighter V เวอร์ชัน PlayStation 4 และ Steam ยังคงใช้งานไม่ได้ เนื่องจากบริษัทกำลังเสริมความปลอดภัยที่เกี่ยวข้องกับภาษาโปรแกรม PHP ซึ่งใช้ในเกมเวอร์ชันดังกล่าว นอกจากนี้ การจำหน่ายเกมบน PlayStation Store และ Steam จะถูกระงับเป็นระยะ ๆ จนกว่าการแก้ไขจะเสร็จสมบูรณ์

ในประกาศที่เผยแพร่ผ่านบัญชี Street Fighter อย่างเป็นทางการ ผู้จัดจำหน่ายระบุว่ากำลังดำเนินการบำรุงรักษาฉุกเฉินเพื่อแก้ไขปัญหานี้ เนื้อหาในประกาศระบุว่าเนื้อหาที่เล่นแบบออฟไลน์ยังคงเล่นได้ และ Capcom ขออภัยในความไม่สะดวก

การระงับการจำหน่ายปรากฏให้เห็นบนหน้าร้านของ Valve แล้ว หน้า Street Fighter V บน Steam แสดงประกาศว่า “Street Fighter V ไม่มีจำหน่ายบนร้านค้า Steam อีกต่อไป”

เว็บไซต์อย่างเป็นทางการของเครือข่าย Capcom Fighters Network ของเกม ซึ่งมีชื่อว่า CAPCOM:Shadaloo C.R.I. กำลังแสดงหน้าบำรุงรักษาที่ระบุว่า “ขณะนี้เรากำลังดำเนินการบำรุงรักษา โปรดรอสักครู่”

เผยแพร่ประกาศบำรุงรักษาฉุกเฉินเมื่อวันที่ 23 ตุลาคม

เมื่อวันที่ 23 ตุลาคม 2026 เวลา 6:05 น. EDT Capcom เผยแพร่ประกาศการบำรุงรักษาฉุกเฉินบนหน้าข่าว Steam ของ Street Fighter V โดยบริษัทระบุว่า เนื่องจากมีการยกระดับความปลอดภัยที่เกี่ยวข้องกับภาษาโปรแกรม PHP เนื้อหาที่ใช้ฟีเจอร์ออนไลน์จึงใช้งานไม่ได้ ส่วนเนื้อหาที่เล่นแบบออฟไลน์ยังคงใช้งานได้ และกำลังดำเนินการบำรุงรักษาฉุกเฉินเพื่อแก้ไขปัญหา

โครงการ PHP แก้ไขช่องโหว่ร้ายแรงสองรายการ

เมื่อวันที่ 20 ตุลาคม 2026 ทีมความปลอดภัยของ PHP แจ้งล่วงหน้าว่าจะเผยแพร่รุ่นแก้ไขด้านความปลอดภัยในวันที่ 21 ตุลาคม 2026 เวลา 14:00 UTC ทีมระบุว่ารุ่นดังกล่าวจะแก้ไขช่องโหว่ร้ายแรงสองรายการ ซึ่งทั้งคู่ได้รับคะแนนความรุนแรง 9.2 ตามมาตรวัด CVSS v4.0 และสงวนสิทธิ์ในการเผยแพร่ก่อนกำหนด หากมีการเปิดเผยรายละเอียดต่อสาธารณะหรือพบหลักฐานการโจมตีช่องโหว่จริง

โครงการ PHP เผยแพร่ PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 เมื่อวันที่ 21 ตุลาคม 2026 รุ่นเหล่านี้แก้ไข CVE-2026-109618 และ CVE-2026-109619 ซึ่งเป็นช่องโหว่ร้ายแรงสองรายการที่อาจเปิดทางให้เรียกใช้โค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ทีม PHP เรียกร้องให้ผู้ใช้ทุกคนอัปเดตทันที โดยระบุว่าไม่มีมาตรการบรรเทาความเสี่ยงที่แก้ไขปัญหาได้ครบถ้วน

ตามประกาศด้านความปลอดภัยของโครงการ การติดตั้ง PHP ทุกชุดที่ให้บริการคำขอผ่านเว็บมีความเสี่ยง ซึ่งรวมถึง PHP-FPM, Apache ที่ใช้ mod_php, php-cgi, FrankenPHP และ LiteSpeed ทีมประเมินว่า mod_php มีความเสี่ยงสูงที่สุด โดยอ้างถึงการสาธิตการโจมตีที่แสดงให้เห็นว่าคำขอจากผู้ใช้ที่ไม่ผ่านการยืนยันตัวตนสามารถกระตุ้นการโจมตีได้ก่อนที่โค้ดของแอปพลิเคชันจะเริ่มทำงาน

คำแนะนำด้านความปลอดภัยบน GitHub สำหรับ CVE-2026-109618 ซึ่งมีชื่อว่า การเรียกใช้โค้ดจากระยะไกลผ่านความเสียหายจากภาวะหน่วยความจำไม่เพียงพอ อธิบายถึงข้อบกพร่องที่ข้อผิดพลาดหน่วยความจำไม่เพียงพออาจทำให้คำขอหยุดทำงาน ขณะที่ข้อมูลภายในของคำขอยังถูกเตรียมใช้งานไม่สมบูรณ์ ส่งผลให้กระบวนการปิดระบบต้องจัดการกับสถานะที่ไม่ถูกต้อง ทีมความปลอดภัยของ PHP ระบุว่าได้ตรวจสอบยืนยันการเรียกใช้โค้ดจากระยะไกลผ่าน HTTP กับ mod_php โดยใช้ขีดจำกัดอินพุตและหน่วยความจำตามค่าเริ่มต้นแล้ว เวอร์ชันที่ต่ำกว่า 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 ได้รับผลกระทบ

คำแนะนำด้านความปลอดภัยสำหรับ CVE-2026-109619 การเรียกใช้โค้ดจากระยะไกลผ่านสถานะส่วนกลางที่ล้าสมัย อธิบายถึงสถานะภายในที่คำขอหนึ่งเป็นเจ้าของ แต่ยังคงอยู่หลังจากหน่วยความจำที่รองรับสถานะนั้นถูกคืนแล้ว ดังนั้นคำขอถัดมาที่จัดการโดยเวิร์กเกอร์ตัวเดียวกันจึงอาจดำเนินการกับสถานะที่ล้าสมัยก่อนที่การเริ่มต้นตามปกติจะรีเซ็ตสถานะนั้น ซึ่งทำให้เกิดการใช้หน่วยความจำหลังถูกคืนแล้ว ทีมระบุว่าได้ตรวจสอบยืนยันการเรียกใช้โค้ดจากระยะไกลกับ mod_php และ FPM ผ่านเส้นทางการอัปโหลดเซสชัน และการโจมตีจะเกิดขึ้นได้ก็ต่อเมื่อคำขอที่สร้างสถานะและคำขอที่นำสถานะไปใช้ถูกส่งไปยังเวิร์กเกอร์ตัวเดียวกัน

โครงการ PHP เผยแพร่คำแนะนำด้านความปลอดภัยเพิ่มเติมหลังการออกรุ่นเมื่อวันที่ 21 ตุลาคม เมื่อวันที่ 23 ตุลาคม 2026 โครงการแนะนำให้ตั้งค่า session.upload_progress.enabled=0 จนกว่าจะมีรุ่นแก้ไขข้อบกพร่องตามกำหนดครั้งถัดไป และระบุว่าจะเผยแพร่คำแนะนำฉบับเต็มสำหรับ CVE-2026-115560 พร้อมกับรุ่นดังกล่าว โดยอธิบายว่าปัญหาต้นเหตุต้องอาศัยการตั้งค่าและโค้ดแอปพลิเคชันที่ประกอบกันในรูปแบบไม่ปกติ เมื่อวันที่ 26 ตุลาคม 2026 โครงการประกาศไฟล์ติดตั้ง Windows รุ่นปรับปรุง ได้แก่ PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 และ 8.2.35-1 ซึ่งมาพร้อม Brotli 1.2.1 เพื่อแก้ไข CVE-2026-111497 ซึ่งเป็นช่องโหว่การเขียนข้อมูลเกินขอบเขตในกระบวนการคลายการบีบอัดของ Brotli โดยสามารถเข้าถึงช่องโหว่นี้ผ่านส่วนขยาย cURL ได้เมื่อเปิดใช้การคลายการบีบอัดการตอบกลับ HTTP โดยอัตโนมัติ โครงการระบุว่า cURL ปิดตัวเลือกดังกล่าวไว้เป็นค่าเริ่มต้น แต่แอปพลิเคชันและไลบรารีไคลเอนต์ HTTP สามารถเปิดใช้ได้

สำหรับสาขารุ่นเก่า ทีมความปลอดภัยของ PHP จัดเตรียมแพตช์ย้อนกลับไปยังซอร์สโค้ดฉบับจำกัด ซึ่งครอบคลุม PHP 7.4, 8.0 และ 8.1 โดยโครงการจะไม่ออกอัปเดตให้ PHP 8.1 และรุ่นเก่ากว่านั้นอีกต่อไป PHP 8.2 จะสิ้นสุดอายุการใช้งานในวันที่ 31 ธันวาคม 2026 และจะไม่ได้รับการแก้ไขด้านความปลอดภัยเพิ่มเติมหลังจากวันดังกล่าว

ประวัติความเป็นมาของ Street Fighter V

Street Fighter V วางจำหน่ายเมื่อวันที่ 15 กุมภาพันธ์ 2016 เกมต่อสู้นี้พัฒนาและจัดจำหน่ายโดย CAPCOM Co., Ltd. และวางจำหน่ายบน PlayStation 4 และ PC โดยเวอร์ชัน Steam รองรับการเล่นข้ามแพลตฟอร์มระหว่างผู้เล่นบน PlayStation 4 และ Steam

ตามข้อมูลจากเว็บไซต์ทางการของ Capcom Street Fighter V: Champion Edition มีเนื้อหาทั้งหมดจากเกมฉบับวางจำหน่ายครั้งแรกและ Street Fighter V: Arcade Edition ยกเว้นชุดคอสตูม Fighting Chance ชุดคอสตูมจากการร่วมมือกับแบรนด์ต่าง ๆ และ DLC ของ Capcom Pro Tour โดยมีตัวละครทั้งหมด 40 ตัว สนามประลอง 34 แห่ง และชุดคอสตูมมากกว่า 200 ชุด การเพิ่มโหมดเกมและการปรับสมดุลทั้งหมดเปิดให้เจ้าของ Street Fighter V ทุกเวอร์ชันใช้งานได้ฟรี และผู้เล่นสามารถปลดล็อกตัวละคร DLC ทั้งหมดได้โดยไม่เสียค่าใช้จ่ายผ่านความท้าทายในเกม ซึ่งมอบ Fight Money สกุลเงินภายในเกม ตามข้อมูลจาก Capcom