Ce mercredi 21 octobre, plusieurs services de The Pokémon Company sont soudainement devenus inaccessibles. Dans un avis publié à midi (heure japonaise), l'éditeur a indiqué que Pokémon Home, Pokémon Champions et Pokémon Sleep étaient en maintenance d'urgence et a précisé que d'autres titres pourraient suivre selon la situation. Champions a basculé en maintenance vers 11h UTC. Les annonces officielles ne nomment aucune faille, mais ces coupures sont intervenues le jour même où PHP publiait un correctif critique, et l'avis de Sleep évoque explicitement des « mesures de sécurité ».
En cause, une paire de failles baptisée PHP2Shell, qui vise le langage PHP, utilisé côté serveur par une immense partie des sites internet. Les deux vulnérabilités (CVE-2026-109618 et CVE-2026-109619) sont notées 9,2 sur l'échelle CVSS v4.0, et presque toutes les versions de PHP depuis la 5.4 sont concernées. D'après Wiz, la faille se trouve dans PHP lui-même et non dans le code des sites : même le programme le plus basique « Hello World » peut donc être exposé, ce qui explique pourquoi autant de services ont coupé par précaution. Un attaquant pourrait aussi lire des mots de passe, des jetons et des clés d'API dans la mémoire du serveur. Pour un service comme Pokémon Home, qui stocke les comptes et les collections des joueurs, la coupure préventive se justifie donc pleinement.
Des failles trouvées via l’IA et d’autres jeux concernés
Autre particularité, la faille a été trouvée grâce à l'intelligence artificielle. Selon le Wall Street Journal, Ryan Austin, chercheur chez Calif, a utilisé GPT-5.6 Sol lors d'un audit du code de PHP financé par OpenAI au mois d'août. Wiz affirme de son côté s'être appuyé sur Gemini 4 Argon et GPT-5.6 Sol. La divulgation a toutefois été chaotique. Le 20 octobre au soir, Calif a publié par erreur une vidéo montrant une attaque fonctionnelle exploitant la faille, alors que le correctif n'était pas encore sorti. Le lendemain matin, Chainguard a mis en ligne des images contenant le correctif environ six heures avant sa sortie officielle. Les développeurs de PHP accusent d'ailleurs ouvertement Chainguard d'avoir dévoilé les failles avant l'heure. Le correctif est désormais disponible en versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, mais PHP 8.1 et les versions antérieures ne recevront aucune mise à jour.
Pokémon n'est pas le seul touché dans le jeu vidéo. Umamusume: Pretty Derby, Granblue Fantasy et Shadowverse: Worlds Beyond ont également été coupés. Final Fantasy XIV fait aussi partie de la liste. Dexerto évoque aussi des perturbations sur les services en ligne de la Switch et de la Switch 2, mais Nintendo n'a pas confirmé de lien avec la faille.
Une coupure finalement plutôt brève
Bonne nouvelle, le retour à la normale est en cours. Pokémon Champions fonctionne de nouveau, et Pokémon Home est revenu ce jeudi à 0h30 heure du Pacifique (9h30 en France). Pokémon Sleep restait en revanche en maintenance, car la coupure d'urgence a été suivie d'une maintenance déjà prévue pour la mise à jour 3.9.0. Une compensation pour les joueurs de Sleep est à l'étude et sera annoncée plus tard. Elle serait bienvenue pour ceux qui avaient activé des objets premium comme les Good Camp Tickets. Enfin, Pokémon GO n'a pas été touché, sans doute parce qu'il n'est pas développé par ILCA, le studio derrière Home, Sleep et Champions.
