Le vulnerabilità PHP, il linguaggio di molti server web, corrette il 21 ottobre 2026 hanno interrotto Final Fantasy 14 e i giochi di Cygames e hanno chiuso per sempre due giochi mobile giapponesi, secondo Kotaku ed Eurogamer. Nelle stesse ore si sono fermati anche il negozio digitale GOG (Good Old Games) e i servizi Pokémon.
I giocatori non eseguono PHP sui propri dispositivi: il linguaggio gira sui server e gestisce login e acquisti, spiega Dexerto. Kotaku stima che alimenti circa il 70 per cento di internet.
Le due vulnerabilità e le versioni corrette
Il rilascio delle correzioni è avvenuto il 21 ottobre alle 14:00 UTC, il tempo universale coordinato, cioè alle 16:00 in Italia, secondo la PHP Foundation. La fondazione ingaggia sviluppatori del nucleo del linguaggio. Gli identificativi sono CVE-2026-109618 e CVE-2026-109619, i codici con cui si cataloga una vulnerabilità pubblica. Entrambe permettono di eseguire codice sul server da remoto.
La prima nasce quando una richiesta raggiunge il limite di memoria nel momento sbagliato: PHP lascia dati interni a metà e poi li tratta come validi. Su un server Apache con il modulo mod_php, dice l’annuncio, una richiesta senza autenticazione può innescarla prima che giri il codice dell’applicazione. Con le impostazioni predefinite è stata dimostrata l’esecuzione completa di codice. La seconda nasce da un errore fatale che lascia lo stato interno puntato a memoria di una richiesta precedente, usata poi da una richiesta successiva sullo stesso processo. L’annuncio non dice chi l’abbia segnalata.
Il punteggio CVSS, la scala di gravità da 0 a 10, circolato prima dell’uscita era 10,0. Secondo l’annuncio quello reale è 9,2. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Il calendario della fondazione parte dal 30 luglio 2026, quando il gruppo Calif ha iniziato un audit di PHP. L’11 agosto Calif ha segnalato la causa della prima vulnerabilità, che OpenAI ha segnalato in modo indipendente. La società di sicurezza Wiz ha indicato un vettore di attacco il 24 agosto e OpenAI altri il 18 settembre. Gli identificativi hanno cominciato a circolare online il 20 ottobre intorno alle 15:00 UTC. L’azienda Chainguard ha pubblicato le versioni corrette alle 07:41 UTC del 21 ottobre, prima della data prevista, e la fondazione ha anticipato il rilascio dal 22 al 21 ottobre.
L’agenzia britannica per la sicurezza informatica, il National Cyber Security Centre, ha pubblicato lo stesso giorno un avviso secondo cui sono coinvolte le organizzazioni con qualsiasi versione di PHP. Se le mitigazioni temporanee non si possono applicare in fretta, l’agenzia consiglia di valutare di portare il sistema offline. Secondo Out of Games, sito indipendente di notizie sui videogiochi, le correzioni sono state portate anche su versioni non più supportate, ma vanno compilate a mano.
Final Fantasy 14
Square Enix ha sospeso il 21 ottobre i nuovi accessi su tutti i mondi di Final Fantasy 14, il suo gioco di ruolo online, per aggiungere misure di sicurezza ai server delle patch. L’avviso sulla Lodestone, il sito di notizie del gioco, cita una vulnerabilità del linguaggio PHP che riguarda sistemi di tutto il mondo e non chiede azioni ai giocatori.
Il 22 ottobre un secondo avviso ha comunicato che i server delle patch aggiornati erano attivi dalle 12:16 a Greenwich, le 14:16 in Italia, e che i login funzionavano di nuovo. Il backup su server dei dati di salvataggio resta sospeso, senza data di ripresa. Eurogamer riporta le stesse informazioni.
Un avviso separato sulla Lodestone riguarda accessi non autorizzati ad account Square Enix fatti con credenziali provenienti da altri servizi, e non cita PHP. Il testo letto il 23 ottobre non riporta una data, quindi non si può collegare a questo episodio. Il gioco si compra su Steam, dove la Starter Edition costa 9,99 euro e l’interfaccia non è in italiano.
GOG, Pokémon e i servizi Nintendo
GOG, il negozio digitale di CD Projekt, ha comunicato in un post su X di essere offline per un paio d’ore. Il post è del 21 ottobre alle 15:09 UTC, le 17:09 in Italia. Anche GOG GALAXY, il programma per gestire la libreria, era fermo. Secondo PC Gamer il negozio è tornato online circa quattro ore dopo, con un post di GOG su Bluesky delle 19:28 UTC. Out of Games elenca fra i siti offline Bulbapedia, l’enciclopedia dei Pokémon, e Yugipedia, quella di Yu-Gi-Oh!.
Su Pokémon Sleep la manutenzione d’emergenza è cominciata il 21 ottobre alle 14:00 UTC, le 16:00 in Italia, senza un orario di fine annunciato. Il sito di notizie Serebii ha segnalato lo stesso per Pokémon HOME, il servizio per conservare e trasferire i Pokémon fra giochi compatibili, per Pokémon Champions e per i servizi online di Switch e Switch 2, come riporta Dexerto. Kotaku descrive messaggi di manutenzione d’emergenza nelle app Home e Champions. Il 22 ottobre le app sono tornate online, secondo Nintendo Life: prima Champions, poi HOME, infine Sleep. Il post ufficiale di Pokémon Sleep, delle 09:06 UTC, attribuisce la manutenzione a misure di sicurezza dei sistemi e all’aggiornamento 3.9.0, e promette oggetti in regalo come scusa, senza nominare PHP.
Nintendo non ha confermato che questi fermi dipendano da PHP. Dexerto scrive che il legame è un’ipotesi nata dalla coincidenza dei tempi.
Cygames e gli altri giochi giapponesi
Cygames ha annunciato una manutenzione d’emergenza per Umamusume: Pretty Derby, un gioco di corse di cavalli, e per Granblue Fantasy, Shadowverse: Worlds Beyond e Princess Connect! Re:Dive, secondo Dexerto. L’avviso ufficiale di Umamusume cita una vulnerabilità PHP nei server del gioco. Secondo Eurogamer lo sviluppatore ha assicurato che non ci sono stati sfruttamenti della falla, i server giapponesi e globali sono tornati online e a tutti i giocatori è stato inviato un indennizzo in valuta di gioco.
Inven Global aggiunge Another Eden e Heaven Burns Red fra i giochi in manutenzione per lo stesso motivo in Corea del Sud. La testata scrive che la maggior parte dei titoli ha ripreso il servizio dalle prime ore del 22 ottobre. Su Steam Umamusume è gratuito e ha l’interfaccia solo in inglese.
Path of Titans
Alderon Games ha messo offline Path of Titans, un MMO in beta a tema dinosauri, il 20 ottobre alle 22:36 UTC. In Italia erano le 00:36 del 21 ottobre. Il post su X parlava di un’interruzione fino a tre giorni che coinvolgeva launcher, sito, acquisti e server multiplayer. Lo studio assicurava che nessun dato fosse stato compromesso e che il fermo anticipasse una vulnerabilità da rendere pubblica il giorno dopo.
Il post non nomina PHP: il collegamento è di Eurogamer, che il 22 ottobre alle 14:11 UTC dava il gioco ancora offline. La pagina di stato di Alderon, letta il 23 ottobre, mostrava aperto l’incidente del 20 ottobre.
I due giochi mobile chiusi per sempre
Kotaku scrive il 22 ottobre che due dei giochi mobile giapponesi più vecchi ancora attivi non riapriranno, perché la tecnologia su cui girano non si può aggiornare per correggere la falla. Il primo è World Quest, un gioco di viaggio sociale lanciato nel 2011 sulla piattaforma giapponese GREE, in cui si creava un avatar e si visitavano paesi e monumenti con mappe online aperte. Aveva chiuso nel 2019 ed è stato riaperto nel 2020, identico, quando le frontiere erano chiuse per la pandemia. Dal 2020 non riceveva aggiornamenti e aveva ancora una base di giocatori attiva.
Il servizio è stato chiuso, scrive Kotaku, per l’impossibilità di proteggere i dati dei clienti con sistemi vecchi. Il secondo è un gioco di ruolo testuale con una comunità di giocatori, i cui aggiornamenti erano finiti due anni fa. Kotaku lo chiama Save My Demonic World, mentre Inven Global lo chiama Please Save My Pandemonium!, lo descrive come un gioco di ruolo idle in servizio dal 2011 e scrive che lo sviluppatore JAGS ne ha annunciato la fine il 21 ottobre.
Inven spiega il problema dei giochi su versioni di PHP non più supportate: forzare l’aggiornamento rischia di rompere la compatibilità con il codice esistente. Le due squadre, dopo oltre dieci anni su un’infrastruttura vecchia, hanno scritto di non poter affrontare la falla in sicurezza.
Cosa non si sa
- se i fermi dei servizi Pokémon e Nintendo dipendano da PHP, perché Nintendo non l’ha confermato;
- se il fermo di GOG dipenda da PHP: il post dell’azienda parla solo di manutenzione e il collegamento è di Out of Games;
- quando Path of Titans tornerà online: Eurogamer lo dava offline il 22 ottobre e la pagina di stato letta il 23 ottobre non mostrava la chiusura dell’incidente;
- quando Final Fantasy 14 riattiverà il backup su server dei dati di salvataggio;
- quale sia il titolo inglese del secondo gioco chiuso, dato che Kotaku e Inven Global riportano due nomi diversi;
- se i servizi giapponesi e coreani in manutenzione abbiano subito attacchi riusciti: per Umamusume lo sviluppatore lo esclude, per gli altri le fonti lette non dicono nulla.
