Capcom призупиняє продажі Street Fighter V, поки триває робота над безпекою PHP

27 жовтня 2026 року Capcom повідомила, що онлайн-функції у версіях Street Fighter V для PlayStation 4 і Steam залишаються недоступними, поки компанія посилює безпеку, пов’язану з мовою програмування PHP, яку використовують у цих версіях. Продажі в PlayStation Store і Steam призупинятимуть поетапно, доки виправлення не буде завершено.

У повідомленні, опублікованому в офіційному обліковому записі Street Fighter, видавець зазначив, що для усунення проблеми триває позапланове технічне обслуговування. У повідомленні також сказано, що вміст, доступний в автономному режимі, залишається доступним для гри, а Capcom перепросила за незручності.

Призупинення продажів уже помітне в магазині Valve. На сторінці Street Fighter V у Steam розміщено повідомлення: «Street Fighter V більше не доступна в магазині Steam».

На офіційному вебсайті Capcom Fighters Network для гри, CAPCOM:Shadaloo C.R.I., відображається сторінка технічного обслуговування з таким повідомленням: «Наразі триває технічне обслуговування. Будь ласка, зачекайте».

Повідомлення про позапланове технічне обслуговування опубліковано 23 жовтня

23 жовтня 2026 року о 6:05 ранку за східним літнім часом (EDT) Capcom опублікувала повідомлення про позапланове технічне обслуговування на сторінці новин Street Fighter V у Steam. У ньому компанія повідомила, що через посилення безпеки, пов’язане з мовою програмування PHP, вміст, для якого потрібні онлайн-функції, був недоступний, вміст, доступний для гри в автономному режимі, залишався доступним, а для усунення проблеми тривало позапланове технічне обслуговування.

У проєкті PHP виправили дві критичні вразливості

20 жовтня 2026 року команда безпеки PHP заздалегідь повідомила про випуск оновлення безпеки, запланований на 21 жовтня 2026 року о 14:00 UTC. Команда зазначила, що оновлення усуне дві критичні вразливості, кожна з яких отримала оцінку 9,2 за шкалою серйозності CVSS v4.0, і залишила за собою право випустити його раніше, якщо подробиці стануть публічними або з’являться свідчення активної експлуатації в реальних умовах.

21 жовтня 2026 року проєкт випустив PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Оновлення усувають CVE-2026-109618 і CVE-2026-109619 — дві критичні вразливості, які можуть дозволити віддалено виконувати код без автентифікації. Команда PHP закликала всіх користувачів негайно оновити програмне забезпечення, заявивши, що повноцінних способів усунення цих вразливостей немає.

Згідно з рекомендаціями проєкту з безпеки, під загрозою перебувають усі інсталяції PHP, що обробляють вебзапити, зокрема PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Команда вважає, що найбільший ризик становить mod_php, посилаючись на продемонстрований експлойт, у якому запит без автентифікації може запустити атаку ще до виконання будь-якого коду застосунку.

У рекомендаціях GitHub щодо CVE-2026-109618 під назвою «Віддалене виконання коду через пошкодження даних унаслідок нестачі пам’яті» описано вразливість, за якої помилка через нестачу пам’яті може перервати обробку запиту, поки його внутрішні дані ініціалізовано лише частково, через що під час завершення роботи обробляються некоректні дані. Команда безпеки PHP повідомила, що підтвердила можливість повного віддаленого виконання коду через HTTP у mod_php зі стандартними обмеженнями на обсяг введених даних і пам’яті. Уразливими є версії нижче 8.2.35, 8.3.36, 8.4.27 і 8.5.12.

У рекомендаціях щодо CVE-2026-109619 під назвою «Віддалене виконання коду через застарілий глобальний стан» описано внутрішній стан, що належить одному запиту й зберігається після звільнення пам’яті, у якій він містився. Через це наступний запит, оброблений тим самим робочим процесом, може використати застарілий стан до його скидання під час звичайної ініціалізації, що призводить до використання після звільнення пам’яті. Команда повідомила, що підтвердила можливість віддаленого виконання коду в mod_php і FPM через механізм відстеження перебігу завантаження сеансів, а для експлуатації вразливості запит, який створює стан, і запит, який його використовує, мають потрапити до того самого робочого процесу.

Після випусків від 21 жовтня проєкт PHP опублікував додаткові рекомендації з безпеки. 23 жовтня 2026 року він рекомендував установити значення session.upload_progress.enabled=0 до наступного планового випуску з виправленнями помилок і повідомив, що разом із цим випуском опублікує повні рекомендації щодо CVE-2026-115560, зазначивши, що для виникнення проблеми потрібне незвичне поєднання конфігурації та коду застосунку. 26 жовтня 2026 року проєкт оголосив про оновлені збірки для Windows: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 і 8.2.35-1. До них увійшов Brotli 1.2.1, що усуває CVE-2026-111497 — помилку запису за межі буфера під час розпакування Brotli, якою можна скористатися через розширення cURL, якщо ввімкнено автоматичне розпакування HTTP-відповідей. Проєкт зазначив, що в cURL цей параметр за замовчуванням вимкнено, однак його можуть увімкнути застосунки та бібліотеки HTTP-клієнтів.

Для старіших гілок команда безпеки PHP надала мінімальні зворотні перенесення виправлень у вихідний код для PHP 7.4, 8.0 і 8.1; проєкт більше не випускає оновлень для PHP 8.1 і старіших версій. Підтримка PHP 8.2 завершується 31 грудня 2026 року, після цієї дати оновлень безпеки для нього більше не буде.

Передісторія Street Fighter V

Street Fighter V вийшла 15 лютого 2016 року. Файтинг, розроблений і виданий CAPCOM Co., Ltd., випустили для PlayStation 4 і ПК, а версія у Steam підтримує кросплатформну гру між гравцями на PlayStation 4 і Steam.

За даними офіційного сайту Capcom, Street Fighter V: Champion Edition містить увесь контент оригінальної версії та Street Fighter V: Arcade Edition, за винятком костюмів Fighting Chance, костюмів зі спільних проєктів із брендами та доповнень DLC для Capcom Pro Tour, а загалом — 40 персонажів, 34 арени й понад 200 костюмів. Усі доповнення до ігрових режимів і оновлення балансу безкоштовні для власників будь-якої версії Street Fighter V, а всіх персонажів із DLC можна отримати безкоштовно, виконуючи внутрішньоігрові випробування, за які нараховують Fight Money — ігрову валюту, повідомляє Capcom.