Capcom tạm ngừng bán Street Fighter V trong khi tiếp tục xử lý vấn đề bảo mật PHP

Ngày 27 tháng 10 năm 2026, Capcom cho biết các tính năng trực tuyến trong phiên bản Street Fighter V dành cho PlayStation 4 và Steam vẫn chưa khả dụng, trong khi công ty đang tăng cường bảo mật liên quan đến ngôn ngữ lập trình PHP được sử dụng trong các phiên bản này. Hãng cũng cho biết việc bán trò chơi trên PlayStation Store và Steam sẽ được tạm ngừng theo từng giai đoạn cho đến khi hoàn tất bản sửa lỗi.

Trong thông báo đăng trên tài khoản Street Fighter chính thức, nhà phát hành cho biết công tác bảo trì khẩn cấp đang được tiến hành để khắc phục sự cố. Thông báo cho biết nội dung có thể chơi ngoại tuyến vẫn khả dụng, đồng thời Capcom gửi lời xin lỗi vì sự bất tiện này.

Việc tạm ngừng bán đã được thể hiện trên cửa hàng trực tuyến của Valve. Trang Street Fighter V trên Steam hiển thị thông báo: “Street Fighter V không còn khả dụng trên cửa hàng Steam.”

Trang web chính thức của mạng lưới Capcom Fighters Network dành cho trò chơi, CAPCOM:Shadaloo C.R.I., đang hiển thị trang bảo trì với nội dung: “Chúng tôi hiện đang tiến hành bảo trì. Vui lòng chờ trong giây lát.”

Đăng thông báo bảo trì khẩn cấp ngày 23 tháng 10

Capcom đã đăng Thông báo bảo trì khẩn cấp trên trang tin tức Street Fighter V của Steam vào lúc 6:05 sáng EDT ngày 23 tháng 10 năm 2026. Trong thông báo, công ty cho biết do các biện pháp tăng cường bảo mật liên quan đến ngôn ngữ lập trình PHP, nội dung sử dụng tính năng trực tuyến không khả dụng, nội dung có thể chơi ngoại tuyến vẫn khả dụng và công tác bảo trì khẩn cấp đang được tiến hành để giải quyết sự cố.

Dự án PHP vá hai lỗ hổng nghiêm trọng

Ngày 20 tháng 10 năm 2026, nhóm bảo mật PHP đã thông báo trước về một bản phát hành bảo mật dự kiến vào lúc 14:00 UTC ngày 21 tháng 10 năm 2026. Nhóm cho biết bản phát hành sẽ khắc phục hai lỗ hổng nghiêm trọng, cả hai đều được xếp hạng 9,2 theo thang mức độ nghiêm trọng CVSS v4.0, đồng thời bảo lưu quyền phát hành sớm hơn nếu thông tin chi tiết bị công khai hoặc xuất hiện bằng chứng về việc khai thác đang diễn ra ngoài thực tế.

Ngày 21 tháng 10 năm 2026, dự án phát hành PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các bản phát hành này khắc phục CVE-2026-109618 và CVE-2026-109619, hai lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa mà không cần xác thực. Nhóm PHP khuyến cáo tất cả người dùng cập nhật ngay lập tức, đồng thời cho biết hiện không có biện pháp giảm thiểu nào giải quyết triệt để vấn đề.

Theo khuyến cáo bảo mật của dự án, mọi bản cài đặt PHP xử lý yêu cầu web đều có nguy cơ bị ảnh hưởng, bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed. Nhóm đánh giá mod_php có nguy cơ cao nhất, dẫn chứng một phương thức khai thác đã được chứng minh, trong đó một yêu cầu không cần xác thực có thể kích hoạt cuộc tấn công trước khi bất kỳ mã ứng dụng nào chạy.

Khuyến cáo trên GitHub về CVE-2026-109618, có tiêu đề Thực thi mã từ xa thông qua lỗi hỏng dữ liệu do hết bộ nhớ, mô tả một lỗi khiến tình trạng hết bộ nhớ có thể làm gián đoạn một yêu cầu khi dữ liệu nội bộ của yêu cầu đó mới chỉ được khởi tạo một phần, khiến các quy trình dọn dẹp khi tắt phải xử lý trạng thái không hợp lệ. Nhóm bảo mật PHP cho biết họ đã xác nhận khả năng thực thi mã từ xa hoàn toàn qua HTTP trên mod_php với giới hạn đầu vào và bộ nhớ mặc định. Các phiên bản cũ hơn 8.2.35, 8.3.36, 8.4.27 và 8.5.12 đều bị ảnh hưởng.

Khuyến cáo về CVE-2026-109619, Thực thi mã từ xa thông qua trạng thái toàn cục cũ, mô tả trạng thái nội bộ thuộc về một yêu cầu vẫn tồn tại sau khi vùng bộ nhớ chứa trạng thái đó được giải phóng. Do đó, một yêu cầu tiếp theo do cùng một tiến trình xử lý tiếp nhận có thể sử dụng trạng thái cũ này trước khi quá trình khởi tạo thông thường đặt lại nó, dẫn đến lỗi sử dụng sau khi giải phóng bộ nhớ. Nhóm cho biết đã xác nhận khả năng thực thi mã từ xa trên mod_php và FPM thông qua luồng xử lý tiến trình tải lên trong phiên, đồng thời việc khai thác đòi hỏi yêu cầu tạo ra trạng thái và yêu cầu sử dụng trạng thái đó phải được xử lý bởi cùng một tiến trình.

Dự án PHP đã công bố thêm các khuyến cáo sau những bản phát hành ngày 21 tháng 10. Ngày 23 tháng 10 năm 2026, dự án khuyến nghị đặt session.upload_progress.enabled=0 cho đến bản phát hành sửa lỗi định kỳ tiếp theo và cho biết sẽ công bố khuyến cáo đầy đủ về CVE-2026-115560 cùng với bản phát hành đó; vấn đề này đòi hỏi sự kết hợp bất thường giữa cấu hình và mã ứng dụng. Ngày 26 tháng 10 năm 2026, dự án thông báo các bản dựng Windows đã cập nhật: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 và 8.2.35-1. Các bản dựng này tích hợp Brotli 1.2.1 để khắc phục CVE-2026-111497, lỗi ghi dữ liệu vượt giới hạn trong quá trình giải nén Brotli, có thể bị kích hoạt thông qua phần mở rộng cURL khi bật tính năng tự động giải nén phản hồi HTTP. Dự án cho biết tùy chọn đó mặc định bị tắt trong cURL, nhưng ứng dụng và thư viện máy khách HTTP có thể bật tùy chọn này.

Đối với các nhánh cũ hơn, nhóm bảo mật PHP đã cung cấp các bản vá ngược tối thiểu cho mã nguồn, áp dụng cho PHP 7.4, 8.0 và 8.1; dự án không còn cung cấp bản cập nhật cho PHP 8.1 trở về trước. PHP 8.2 sẽ hết vòng đời vào ngày 31 tháng 12 năm 2026 và sẽ không nhận thêm bản vá bảo mật nào sau ngày đó.

Thông tin về Street Fighter V

Street Fighter V được phát hành vào ngày 15 tháng 2 năm 2016. Được CAPCOM Co., Ltd. phát triển và phát hành, trò chơi đối kháng này ra mắt trên PlayStation 4 và PC; phiên bản Steam hỗ trợ chơi đa nền tảng giữa người chơi trên PlayStation 4 và Steam.

Theo trang web chính thức của Capcom, Street Fighter V: Champion Edition bao gồm toàn bộ nội dung của phiên bản phát hành gốc và Street Fighter V: Arcade Edition, ngoại trừ trang phục Fighting Chance, trang phục hợp tác với các thương hiệu và DLC Capcom Pro Tour, với tổng cộng 40 nhân vật, 34 đấu trường và hơn 200 trang phục. Tất cả nội dung bổ sung cho chế độ chơi và các bản cập nhật cân bằng đều miễn phí đối với người sở hữu bất kỳ phiên bản Street Fighter V nào; theo Capcom, người chơi cũng có thể nhận miễn phí tất cả nhân vật DLC thông qua các thử thách trong trò chơi, vốn thưởng Fight Money, đơn vị tiền tệ trong game.