漏洞成因：
• CVE-2026-109618：與 PHP 記憶體不足時的處理機制有關，可能導致內部資料尚未完整初始化就被錯誤使用。
• CVE-2026-109619：屬於釋放後記憶體（Use After Free）缺陷，與記憶體釋放後殘留的全域狀態有關。

影響範圍：
全球約 7 成網站、涵蓋 WordPress、Drupal、Joomla、Magento 等內容管理系統的底層 PHP 執行環境；版本由 PHP 5.4 至 8.5.11 均在影響之列。

嚴重風險：
攻擊者無須通過身分驗證（不需要帳號密碼），即可透過網路遠端在伺服器上執行任意程式碼，可能導致資料遭竊、網頁遭竄改或主機被完全掌控。

釋出更新：
2026/10/23起陸續提供官方公開更新包修正檔.

修正版本：
[NGS: 9.0.3.2] [MDS/MDispersion/HMail: 3.1.6.1] [MAS/MArchive: 7.0.5.4][NTS: 5.2.1.9]