摘要
QSAN XCubeNXT 與 XCubeFAS 產品不受 CVE-2026-109618 與 CVE-2026-109619 影響。
這兩個弱點均位於 PHP 直譯器的 request 記憶體處理流程，在 request 清理階段或後續 request 中可能讀取到未初始化或已失效的記憶體。QSAN 已檢視 XCubeNXT 與 XCubeFAS 韌體，確認這些產品不受影響。
適用範圍
緩解措施
無。
詳細資訊
CVE-2026-109618
嚴重性：不受影響
CVSS3 Base Score：0.0
CVSS3 Vector：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N
PHP 以 longjmp() 處理記憶體不足（OOM）錯誤，藉此離開當前內容並中止該 request 的處理。部分情境未正確處理此狀況，在進行記憶體配置前即留下未初始化的 request 記憶體，後續的 request 清理程序可能讀取該記憶體或依其進行分支。
CVE-2026-109619
嚴重性：不受影響
CVSS3 Base Score：0.0
CVSS3 Vector：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N
PHP 有多個全域狀態會暫時指向 request 記憶體。在某些情境下，全域狀態可能未被正確重置，或於重置後又被重新填入，使其在 request 記憶體釋放後仍指向該區域。後續 request 可能在其完全初始化前讀取該過期狀態或依其進行分支。