Dans cet article Dans cet article
- Ce qui ne fonctionne plus, et ce qui reste jouable
- Une faille PHP vieille de plus de dix ans, trouvée par des IA
- Une semaine de coupure, jour après jour
- Des excuses, mais aucun calendrier
- Deux alertes de sécurité en une semaine chez Capcom
- Un jeu à 8 millions d’exemplaires sur des serveurs de 2016
- Ce que la réparation dira de la durée de vie des jeux en ligne
Depuis une semaine, impossible de lancer un match classé sur Street Fighter V. Le 27 octobre 2026, Capcom a confirmé que les fonctions en ligne des versions PS4 et Steam resteraient coupées le temps de corriger une faille de sécurité, et que le jeu serait retiré progressivement du PlayStation Store et de Steam. Aucune date de retour n’est annoncée.
Street Fighter V, c’est le jeu de combat sorti en février 2016, cinquième épisode numéroté de la série et longtemps vitrine de l’e-sport de l’éditeur, avant l’arrivée de Street Fighter 6 en 2023. Son infrastructure en ligne repose sur PHP, le langage de programmation qui fait tourner une large part du web, et c’est lui que vient de fragiliser une faille découverte à l’aide d’outils d’intelligence artificielle. Que perdent les joueurs, et combien de temps un éditeur peut-il garder hors ligne un jeu vendu à des millions d’exemplaires ?
Ce qui ne fonctionne plus, et ce qui reste jouable
D’après le relevé publié par Output Lag le 27 octobre, la coupure touche tout ce qui passe par les serveurs de Capcom sur PS4 et sur PC :
- les matchs classés et occasionnels en ligne ;
- le Battle Lounge, où les joueurs se retrouvaient entre amis ;
- les profils de combattant et leurs statistiques ;
- la boutique intégrée au jeu ;
- l’achat du jeu lui-même, le bouton d’achat ayant déjà disparu de Steam.
Les modes hors ligne restent accessibles. Histoire, arcade, survie, entraînement et versus en local se lancent normalement, et les propriétaires conservent le jeu dans leur bibliothèque. Pour un titre de combat, c’est pourtant l’essentiel de sa durée de vie qui s’arrête, et la cause dépasse largement Capcom.
Une faille PHP vieille de plus de dix ans, trouvée par des IA
Le 20 octobre, le PHP Group a alerté sur deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 et permettant l’exécution de code à distance sans authentification. Selon PCWorld, elles existaient dans le langage depuis plus d’une décennie.
Leur découverte doit beaucoup à l’IA. Les chercheurs de la société de cybersécurité Wiz ont travaillé avec les modèles Gemini 4 Argon de Google et GPT-5.6 Sol d’OpenAI pour repérer les failles et écrire un code d’attaque fonctionnel, baptisé PHP2Shell. Amazon avait détecté des tentatives d’exploitation dès le 17 octobre, avant même l’annonce publique.
L’enjeu est considérable. PHP alimente près de 70 % des sites qui utilisent un langage côté serveur, d’après W3Techs, et des sites gouvernementaux français, allemands et néerlandais ont été coupés temporairement pendant leur mise à jour. Les correctifs sont sortis le 21 octobre, mais Street Fighter V, lui, n’est toujours pas revenu.
Une semaine de coupure, jour après jour
Mis bout à bout, les avis de Capcom et les annonces du PHP Group dessinent une coupure qui s’est installée par étapes :
- 17 octobre 2026 : Amazon repère les premières tentatives d’exploitation de la faille ;
- 20 octobre 2026 : le PHP Group publie son alerte de sécurité ;
- 21 octobre 2026 : les versions corrigées de PHP sont disponibles, et Capcom signale le problème sur le compte X de Street Fighter ;
- 23 octobre 2026 : un avis sur Steam annonce une maintenance d’urgence et la coupure des fonctions en ligne ;
- 27 octobre 2026 : Capcom publie son avis officiel et engage le retrait progressif du jeu des boutiques.
Six jours séparent la publication des correctifs PHP et le retrait du jeu des boutiques. Ce délai suggère que la mise à jour des serveurs d’un jeu de 2016 demande bien plus qu’un simple changement de version.
Des excuses, mais aucun calendrier
L’avis publié par Capcom sur sa page de support officielle tient en quelques lignes. Il évoque un renforcement de la sécurité liée à PHP, une maintenance d’urgence et une suspension des ventes jusqu’à la fin du correctif, sans plus de détail technique.
Une maintenance d’urgence est actuellement en cours pour résoudre ce problème. Nous vous présentons nos sincères excuses pour la gêne occasionnée.
Capcom, message de suivi sur la coupure de Street Fighter V, rapporté par Video Games Chronicle le 27 octobre 2026
L’éditeur ne dit ni combien de temps durera l’intervention, ni si ses serveurs ont été visés par une attaque réelle. Pour les joueurs, ce silence laisse une seule certitude : rien ne reviendra avant la fin du correctif, dont la date reste inconnue.
Deux alertes de sécurité en une semaine chez Capcom
L’incident tombe mal. Le 22 octobre, l’éditeur reconnaissait déjà une fuite touchant 11,7 millions de comptes CAPCOM ID, après avoir repéré un accès suspect le 19 octobre. Les adresses e-mail de 11 774 247 comptes avaient été exposées, et 196 comptes avaient vu leur mot de passe modifié par l’intrus.
Les dates se chevauchent, puisque les premières sondes visant PHP datent du 17 octobre. Rien ne permet pourtant de relier les deux affaires : l’avis du 27 octobre ne fait aucune mention de la fuite CAPCOM ID, et Capcom n’a jamais précisé la technique employée par l’attaquant. Cette coïncidence suffit toutefois à expliquer la prudence d’un éditeur qui ne peut plus se permettre un troisième incident.
Un jeu à 8 millions d’exemplaires sur des serveurs de 2016
Street Fighter V n’a rien d’un titre confidentiel. Selon la liste des titres Platinum de Capcom arrêtée au 30 juin 2026, il s’est écoulé à 8 millions d’exemplaires, davantage que Street Fighter 6 et ses 7,2 millions. Ce volume donne l’ampleur du parc concerné, même si Capcom ne publie aucun chiffre de joueurs encore actifs.
La bande-annonce de lancement diffusée par PlayStation rappelle l’ambition du jeu à sa sortie, quand il devait servir de plateforme évolutive pendant des années, enrichie saison après saison de nouveaux combattants.
Ce modèle avait un revers que la faille rend visible. Un jeu de 2016 tourne sur une infrastructure que l’éditeur doit maintenir à ses frais, alors que les ventes se sont déplacées vers son successeur. Chaque correctif urgent devient alors un arbitrage économique autant que technique.
Ce que la réparation dira de la durée de vie des jeux en ligne
Capcom parle d’une suspension temporaire, et rien n’indique pour l’instant une fermeture. Mais l’automne a montré que les services en ligne d’un jeu peuvent disparaître sans recours pour les joueurs, de la fin annoncée de Pokémon Unite et de ses gemmes non remboursées hors du Japon aux serveurs de Mario Kart Tour éteints fin septembre.
La durée de cette coupure servira de test. Un retour rapide montrerait qu’un éditeur peut encore entretenir un jeu vendu à 8 millions d’exemplaires dix ans après sa sortie ; une absence prolongée ferait de la faille PHP le prétexte d’une retraite qui ne dit pas son nom. Les mises à jour de l’avis de Capcom, et la réapparition ou non du jeu dans les boutiques, trancheront bien avant toute annonce officielle.
