Capcom retira Street Fighter 5 de las tiendas con urgencia, y limita las funcionalidades del juego. Está por ver qué será de él

Capcom retiró Street Fighter V de PlayStation Store y Steam y dejó sin servicio a sus servidores online mientras aplicaba un mantenimiento de emergencia por la vulnerabilidad de PHP que puso en vilo a buena parte de la web. La jugada llega apenas seis días después de que el equipo de PHP publicara un parche urgente para dos fallos tan graves que la agencia de ciberseguridad de Estados Unidos, la CISA, ha ordenado parchearlos de inmediato.

El aviso de Capcom llegó el 27 de octubre de 2026 a través de la cuenta oficial de Street Fighter en X, donde la compañía explicaba que "para reforzar aún más la seguridad relacionada con el lenguaje de programación PHP utilizado en las versiones de PlayStation 4 y Steam de Street Fighter V, el contenido que requiere funcionalidad en línea no está disponible actualmente". El contenido offline, eso sí, "sigue disponible y puede disfrutarse"; pero las compras en PlayStation Store y Steam se suspenden "por etapas" hasta que el arreglo esté listo. En el momento de escribir estas líneas, aún no se ha reanudado la venta digital del juego.

Si te preguntas qué pinta un lenguaje web en un juego de lucha de 2016, la respuesta es que PHP corre en los servidores que sostienen todo lo que no es partida local: el matchmaking, las batallas clasificatorias, la tienda de contenido descargable, los torneos en línea. Por eso el modo historia, el entrenamiento y los combates contra la máquina siguen funcionando; es la capa online entera la que se ha apagado. Y la luz, en este caso, tiene nombre: php2shell. 

Así se conocen los dos fallos bautizados como CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación CVSS v4.0 de 9,2 sobre diez, lo que en la escala de gravedad equivale a "crítico sin paliativos". Permiten la ejecución remota de código, lo que en cristiano significa que un atacante puede tomar el control del servidor sin usuario ni contraseña; y la agencia estadounidense CISA los incluyó el 26 de octubre en su catálogo de vulnerabilidades con explotación conocida, el KEV, lo que obliga a las administraciones federales a parchearlas.

Lo curioso del asunto es cómo se descubrieron. Un grupo de investigadores y organizaciones usó inteligencia artificial para encontrar los dos fallos en el núcleo de PHP, un lenguaje que lleva décadas alimentando desde tiendas hasta foros y que la firma de ciberseguridad watchTowr ya detectó siendo explotado activamente en sus honeypots el mismo 21 de octubre. Los detalles se filtraron un día antes de lo previsto, lo que forzó al equipo de PHP a adelantar el parche.

Street Fighter V, publicado el 16 de febrero de 2016, es precisamente el tipo de víctima propicia para este género de crisis. Es un juego de más de una década, y con esa edad lo habitual sería que su servidor corriera una versión de PHP antigua, quizá de las que ya no reciben parche oficial. Los parches solo existen para las ramas 8.5, 8.4, 8.3 y 8.2, mientras que la 8.1 y las anteriores dependen de backports de terceros. Por eso Capcom no da fecha de regreso: no se trata de pulsar un botón, sino de migrar la infraestructura de servidor de un juego que muchos daban por cerrado.

¿Hay motivo para el pánico? Tampoco es eso. Quien ya tiene Street Fighter V instalado puede seguir jugando todo lo que no requiera conexión, y Capcom ha sido clara al respecto; lo que no ha sido es igual de clara con el cuándo. "Hasta que la corrección se haya completado", reza el comunicado, y ahí aguardan los jugadores. Habrá que ver si el estudio japonés aprovecha el paso para cerrar de una vez la etapa de servidor de un juego que ya cumplió su ciclo, o si devuelve el online a la vida.

Foto | Capcom