Connexions coupées, sauvegardes en pause : ce que l’alerte PHP2Shell a coûté aux aventuriers d’Éorzéa
Par Johan | Publié le
🔥 Ce qu’il faut retenir
- Square Enix a suspendu les nouvelles connexions sur tous les mondes de Final Fantasy XIV du 21 au 22 octobre 2026 pour protéger ses serveurs de patch face à deux failles critiques du langage PHP, surnommées PHP2Shell.
- Compensation : un jour de jeu offert à tout compte disposant de la version complète et d’un abonnement actif le 21 ou le 22 octobre, attribué à partir du 28 octobre à 7h00 GMT (8h00 heure de Paris), sur deux à trois jours.
- Abonnement récurrent : la date de fin est repoussée d’un jour, services optionnels compris. Sans paiement récurrent : une journée de temps de jeu est ajoutée. La même faille a mis en maintenance d’urgence plusieurs jeux Pokémon et Cygames.
Il n’y a pas eu de grosse mise à jour ni de serveur en flammes : cette fois, c’est un composant logiciel utilisé par une bonne partie du Web qui a forcé Square Enix à fermer les portes de Final Fantasy XIV pendant une journée. Le MMORPG a suspendu les nouvelles connexions sur l’ensemble de ses mondes le 21 octobre, le temps de renforcer la sécurité de ses serveurs, avant de rouvrir le lendemain. Pour se faire pardonner, l’éditeur offre un jour de jeu aux abonnés concernés. Comme toujours sur notre magazine high-tech et gaming, on détaille qui y a droit, quand la journée arrive sur votre compte et pourquoi cette faille a secoué bien d’autres services que le seul jeu de Square Enix.
Trois jours de perturbations, racontés par le Lodestone
Tout commence le 21 octobre 2026 avec une notice publiée sur le Lodestone, le portail officiel du jeu. Square Enix y explique avoir mis hors ligne les serveurs de patch de Final Fantasy XIV pour y appliquer des renforcements de sécurité, en réponse à une vulnérabilité critique du langage PHP dont l’impact est mondial. Conséquence directe : impossible de se connecter à un monde, quel qu’il soit. Le studio ne donne alors aucune heure de retour et promet des nouvelles au fil de l’avancée des travaux.
💡 Pour comprendre : pourquoi couper les serveurs de patch bloque tout le monde
Avant de vous laisser entrer en jeu, le lanceur de Final Fantasy XIV interroge un serveur de patch pour vérifier que vos fichiers sont à jour. Si ce serveur est éteint, le lanceur ne peut pas valider votre version et la connexion s’arrête là. Couper ce point d’entrée revient donc à fermer la porte d’accès à tous les mondes en une seule opération. C’est radical pour les joueurs, mais c’est aussi la façon la plus simple de retirer d’Internet une machine potentiellement exposée pendant qu’on la corrige.
Le 22 octobre, vers 12h16 GMT (14h16 heure de Paris), les connexions reprennent grâce à des serveurs de patch mis à jour. Tout n’est pas rentré dans l’ordre pour autant : la fonction de sauvegarde des données sur serveur reste suspendue, pour la même raison. Elle redémarre le 23 octobre vers 8h35 GMT (10h35 heure de Paris), une fois les mesures de sécurité terminées. Le même jour, Square Enix annonce la compensation. Un autre mécanisme a aussi été gelé : le minuteur de démolition automatique des logements, qui détruit les maisons laissées sans visite trop longtemps. Il ne reprendra que le 26 octobre à 8h00 GMT (9h00 heure de Paris), l’annonce ne précisant pas si les compteurs des joueurs sont ajustés.
| Date | Heure de Paris | Événement |
|---|---|---|
| 20 octobre 2026 | Dans la journée | Le projet PHP annonce une mise à jour de sécurité critique pour le lendemain |
| 21 octobre 2026 | 16h00 | Publication des correctifs PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 |
| 21 octobre 2026 | Non précisée | Final Fantasy XIV : nouvelles connexions suspendues sur tous les mondes |
| 22 octobre 2026 | 14h16 | Reprise des connexions, sauvegarde serveur toujours suspendue |
| 23 octobre 2026 | 10h35 | Retour de la sauvegarde des données sur serveur, annonce de la compensation |
| 26 octobre 2026 | 9h00 | Reprise du minuteur de démolition automatique des logements |
| 28 octobre 2026 | 8h00 | Début de l’attribution du jour de jeu offert (étalée sur deux à trois jours) |
Pas d’annonce préalable, une coupure longue : c’est précisément ce qui a poussé Square Enix à dédommager ses abonnés.
L’éditeur justifie lui-même son geste par ces deux points. Une maintenance programmée est annoncée des jours à l’avance et les joueurs s’organisent ; une fermeture surprise d’environ une journée, en plein milieu de semaine, fait perdre des sessions de jeu payées. Si cette pause forcée vous a donné envie de varier les plaisirs ou de (re)découvrir l’aventure sur console, vous trouverez facilement les éditions de Final Fantasy XIV disponibles en boutique.
PHP2Shell : deux failles critiques au cœur du Web
Square Enix ne nomme pas la vulnérabilité dans ses annonces, mais le calendrier ne laisse guère de doute. Le 21 octobre 2026, le projet PHP publie en urgence quatre versions corrigées (8.5.12, 8.4.27, 8.3.36 et 8.2.35) pour combler deux failles référencées CVE-2026-109618 et CVE-2026-109619. Toutes deux sont notées 9,2 sur 10 selon la grille CVSS v4.0 et peuvent permettre une exécution de code à distance sans authentification. Dans le milieu de la sécurité, le duo a vite hérité d’un surnom parlant : PHP2Shell, l’idée étant qu’une simple requête envoyée à un site peut suffire à prendre la main sur le serveur.
💡 Pour comprendre : une exécution de code à distance, c’est quoi ?
PHP est un langage qui fait tourner une énorme partie des sites et services web, des blogs aux portails de jeux. Une faille d’exécution de code à distance (RCE) permet à un attaquant de faire exécuter ses propres instructions par le serveur, depuis Internet, sans avoir de compte. Ici, la première faille exploite la gestion des erreurs de mémoire saturée, la seconde des données internes qui survivent après avoir été libérées. Dans les deux cas, le serveur peut se retrouver à suivre des ordres qu’il n’aurait jamais dû recevoir. C’est le scénario le plus grave en sécurité informatique, d’où les coupures préventives.
Le projet PHP précise que toutes les installations qui servent des pages web sont à risque, avec un danger jugé maximal pour la configuration Apache avec mod_php, où une requête anonyme peut déclencher l’attaque avant même que le code du site ne s’exécute. Les versions PHP 8.1 et antérieures ne sont plus mises à jour officiellement, même si des correctifs minimaux ont été fournis pour PHP 7.4, 8.0 et 8.1. Et l’histoire n’est pas terminée : le 23 octobre, le projet a publié un avis complémentaire annonçant une troisième vulnérabilité, CVE-2026-115560, liée à la progression des envois de fichiers en session, qui sera corrigée avec la prochaine version régulière.
L’agence de cybersécurité de Singapour indique de son côté avoir constaté des tentatives d’exploitation à grande échelle et l’existence de plusieurs preuves de concept. Dans ce contexte, la prudence de Square Enix se comprend : mieux valait fermer quelques heures que de laisser une porte ouverte sur l’infrastructure d’un jeu en ligne de cette ampleur.
Qui reçoit quoi : le détail de la compensation
La règle d’éligibilité tient en une phrase : votre compte de service doit avoir la version complète de Final Fantasy XIV enregistrée et un abonnement actif le 21 ou le 22 octobre 2026. Un seul de ces deux jours suffit. La façon dont la journée vous est rendue dépend ensuite de votre mode de paiement. Profitez-en pour soigner votre installation avant de reprendre les donjons : un bon casque gaming compatible PS5 et PC change vraiment la donne en raid, quand il faut entendre les annonces du chef de groupe.
| Situation du compte | Éligible ? | Ce que vous recevez |
|---|---|---|
| Version complète + abonnement récurrent actif le 21 ou le 22 octobre | Oui | Date de fin d’abonnement repoussée d’un jour |
| Services optionnels payants (servants supplémentaires, etc.) sur un compte éligible | Oui | Prolongation d’un jour également |
| Version complète + temps de jeu actif sans paiement récurrent | Oui | Une journée de temps de jeu ajoutée |
| Version complète, mais aucun abonnement actif le 21 ni le 22 octobre | Non | Rien |
| Compte sans version complète enregistrée (essai gratuit) | Non | Rien |
Côté calendrier, l’attribution démarre le 28 octobre 2026 à 7h00 GMT, soit 8h00 heure de Paris puisque la France sera repassée à l’heure d’hiver le 25 octobre. Square Enix traite les comptes de façon séquentielle et prévient que l’opération prendra deux à trois jours, vu le nombre de comptes concernés. Autrement dit, si votre date de fin d’abonnement n’a pas bougé le 28 au matin, inutile de contacter le support tout de suite. Dernière précision : la compensation vise la version mondiale du jeu, et l’éditeur prévient que sa disponibilité et le nombre de jours accordés peuvent varier selon les régions, en fonction de l’impact réel de la coupure et des lois locales.
Ailleurs dans le jeu vidéo : une vague de maintenances d’urgence
Une maintenance d’urgence n’est pas un piratage : c’est souvent la preuve qu’un éditeur a pris les devants.
Final Fantasy XIV n’a pas été le seul à baisser le rideau. Le 21 octobre, plusieurs services très populaires ont été placés en maintenance d’urgence dans la foulée de l’alerte, notamment Pokémon HOME, Pokémon Sleep et Pokémon Champions chez The Pokémon Company, ainsi qu’Umamusume: Pretty Derby et Granblue Fantasy chez Cygames. Pour vous, joueur, le réflexe est simple : aucune démarche n’est demandée pour la compensation, donc méfiez-vous de tout e-mail ou message vous invitant à « réclamer » votre jour gratuit via un lien. Ce genre d’actualité est un terrain idéal pour l’hameçonnage. Vérifiez plutôt votre date d’expiration directement depuis le Mog Station officiel à partir du 28 octobre, et profitez-en pour activer la double authentification proposée sur votre compte Square Enix si ce n’est pas déjà fait.
Mon avis
Un jour de jeu, ce n’est pas énorme, mais c’est exactement proportionné à la gêne : environ une journée sans pouvoir se connecter, une journée rendue. Je trouve surtout la démarche propre. Square Enix a communiqué à chaque étape sur le Lodestone, avec des heures précises, et a reconnu de lui-même que l’absence de préavis justifiait un geste. Beaucoup d’éditeurs se contentent d’un simple message d’excuse dans ce genre de situation.
Sur le fond, je préfère mille fois un MMO qui coupe tout pendant une journée plutôt qu’un studio qui laisse tourner des serveurs exposés à une faille notée 9,2 sur 10, avec des tentatives d’exploitation déjà signalées. On peut râler sur la soirée de raid perdue, mais un compte compromis ou des données dans la nature, ce serait une tout autre affaire.
Mon petit bémol concerne le logement. Le minuteur de démolition a été gelé puis relancé le 26 octobre, et l’annonce ne dit pas un mot sur un éventuel ajustement des compteurs. Si votre maison était déjà proche de l’échéance, je vous conseille d’aller y faire un tour dès que possible plutôt que de compter sur la clémence du système.
Une question sur votre éligibilité, un doute sur un message reçu au sujet de cette compensation ou sur la sécurité de votre compte ? Sinon je suis là, dans les commentaires, pour vous aider à y voir clair.
Toutes les annonces de suivi, y compris d’éventuelles précisions sur la distribution du jour offert, sont publiées sur le site officiel de Final Fantasy XIV.
Qui a droit au jour de jeu gratuit sur Final Fantasy XIV ?
Les comptes de service sur lesquels la version complète de Final Fantasy XIV est enregistrée et qui avaient un abonnement actif le 21 ou le 22 octobre 2026. Il suffit d’avoir été abonné l’un de ces deux jours. Un compte d’essai gratuit, sans version complète enregistrée, n’est pas concerné.
Quand le jour offert sera-t-il crédité ?
L’attribution commence le 28 octobre 2026 à 7h00 GMT, soit 8h00 heure de Paris puisque la France sera repassée à l’heure d’hiver. Square Enix traite les comptes les uns après les autres et prévoit deux à trois jours pour tout distribuer, vu le nombre de comptes éligibles. Pas d’inquiétude si rien n’apparaît dès le premier matin.
Faut-il faire une démarche pour recevoir la compensation ?
L’annonce officielle ne décrit aucune démarche : Square Enix attribue lui-même la journée, compte par compte. Méfiez-vous donc de tout e-mail ou message qui vous demanderait de cliquer sur un lien pour réclamer ce jour gratuit. Vérifiez plutôt votre date d’expiration depuis le Mog Station officiel.
Comment le jour est-il ajouté avec un abonnement récurrent ?
La date de fin de votre abonnement est repoussée d’un jour. Les services optionnels payants, comme les servants supplémentaires, sont eux aussi prolongés d’une journée.
Et sans paiement récurrent, avec du temps de jeu prépayé ?
Dans ce cas, Square Enix ajoute une journée de temps de jeu au compte. Le résultat est le même que pour les abonnés récurrents : un jour de jeu en plus. La condition reste d’avoir eu du temps de jeu actif le 21 ou le 22 octobre 2026.
Qu’est-ce que la faille PHP2Shell ?
PHP2Shell est le surnom donné à deux failles critiques du langage PHP, référencées CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur 10 selon la grille CVSS v4.0. Elles peuvent permettre à un attaquant non authentifié d’exécuter du code à distance sur un serveur web qui utilise PHP. Les correctifs sont sortis le 21 octobre 2026 avec PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Mes données de jeu ont-elles été piratées ?
Les annonces de Square Enix décrivent des mesures de sécurité préventives sur les serveurs de patch et la sauvegarde des données, sans signaler de piratage ni de fuite de données. La coupure servait justement à renforcer la sécurité avant de rouvrir l’accès. Activer la double authentification sur votre compte Square Enix reste une bonne précaution.
D’autres jeux ont-ils été touchés par cette faille PHP ?
Oui, plusieurs services ont été placés en maintenance d’urgence le 21 octobre 2026, notamment Pokémon HOME, Pokémon Sleep et Pokémon Champions chez The Pokémon Company, ainsi qu’Umamusume: Pretty Derby et Granblue Fantasy chez Cygames. Ces coupures sont des mesures de précaution et ne signifient pas que ces services ont été piratés.
