Pokemon Sleep, HOME и японские игры упали из-за критической уязвимости PHP

Что случилось

21 октября крупнейшие японские игровые сервисы одновременно ушли на экстренное техническое обслуживание. Pokemon Sleep объявила о дауне без уточнения времени возобновления работы. Вслед за ней упали Pokemon HOME (сервис для переноса покемонов между играми) и Pokemon Champions — сервисы стали недоступны практически сразу после выпуска PHP-разработчиками критических патчей для уязвимостей.

Всё стало ясно из социальных сетей: игроки принялись делиться скриншотами техобслуживания и гадать, что произошло. На фоне падения Pokémon сразу упали и онлайн-сервисы Nintendo для Switch 1 и Switch 2.

Сама Nintendo официально не подтвердила связь дауна этих сервисов с PHP-уязвимостью, однако синхронность падений оставляет мало сомнений: компания явно изолирует и патчит серверы в срочном порядке.

Проблема коснулась не только Nintendo. Cygames, издатель Umamusume: Pretty Derby, Granblue Fantasy, Princess Connect! Re:Dive и Shadowverse: Worlds Beyond, также объявила об экстренном техническом обслуживании. В официальном уведомлении Umamusume прямо упомянута критическая PHP-уязвимость на серверах игры. CHUNITHM (аркадный ритм-игр), чей международный аккаунт тоже выложил предупреждение про PHP, тоже попал в список.

Что произошло на самом деле

PHP — это язык программирования, который работает на серверах сайтов и онлайн-сервисов. На вашей консоли или телефоне никакого PHP не крутится; вместо этого он работает на бэкенде, обрабатывая логины, данные учётных записей, покупки и прочие онлайн-функции.

Две обнаруженные уязвимости (CVE-2026-109618 и CVE-2026-109619) получили оценку 9.2 из 10 по шкале критичности. Их суть проста: атакующий может отправить специально подготовленный запрос на уязвимый сервер и заставить его выполнить произвольную команду. Это открывает дверь для кражи данных, установки вредоноса, изменения содержимого сайта или использования скомпрометированного сервера для атак на другие системы.

PHP-разработчики выпустили патчи для версий 8.2, 8.3, 8.4 и 8.5 и настоятельно потребовали от администраторов обновиться немедленно. Полных обходов уязвимости нет — значит, нужно либо обновить установку, либо временно отключить уязвимые сервисы. Организациям, которые не могут срочно установить патч, CERT-EU рекомендует вообще отключить доступ в интернет к уязвимым приложениям.

Какие сервисы упали

На момент публикации материала были недоступны:

• Pokemon Sleep
• Pokemon HOME
• Pokemon Champions
• Онлайн-сервисы Nintendo Switch (поколения 1 и 2)
• Umamusume: Pretty Derby
• Granblue Fantasy
• Shadowverse: Worlds Beyond
• Princess Connect! Re:Dive
• CHUNITHM

Важно понимать: падение сервиса не означает, что его взломали. В большинстве случаев разработчики просто изолируют серверы, чтобы применить патчи или предотвратить потенциальные атаки. Nintendo так и не подтвердила, что отключение Switch-онлайна напрямую связано с PHP-уязвимостью, но совпадение во времени говорит само за себя.

Масштабы катастрофы

Это не просто проблема Nintendo или одной студии. PHP используется по всему интернету, и критическая уязвимость бьёт по десяткам тысяч сайтов и сервисов по всему миру. Игровые компании среагировали быстро и правильно — лучше день технического обслуживания, чем украденные аккаунты и нарушенная безопасность игроков.

Полный масштаб влияния на игровые сервисы останется неясным до тех пор, пока компании полностью не завершат патчирование. Но синхронное падение Pokemon, Cygames-сервисов и аркадных игр показывает, насколько быстро проблема на уровне серверного ПО может распространиться на миллионы игроков по всему миру.