PHP UPGRADE FAQ · 2026

PHP 版本升級
常見問題

了解 PHP 官方於 2026 年 10 月 21 日公布的安全風險,以及主機維護、網站保固與版本升級的工作範圍。

原維護責任不會重複收費

網站在原約定環境下發生的既有功能異常,仍依原合約範圍處理。另行報價的部分,是 PHP 改版後新增的盤點、相容性修改、測試與切換工作。

安全風險

這次需要處理的風險是什麼?

PHP 是網站運作的程式環境。當底層環境出現漏洞,即使網站畫面目前正常,也不代表風險不存在。

PHP 官方公告

兩項重大漏洞可能讓未登入的攻擊者遠端執行程式碼

PHP 官方指出,提供網頁服務的 PHP 安裝環境都需要注意,範圍包含 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed。

CVE-2026-109618 CRITICAL · CVSS 9.2
PHP 官方名稱

RCE via OOM corruption

PHP 處理記憶體耗盡錯誤時,可能留下未正確初始化的資料,進而造成遠端程式碼執行。

GHSA-w8hw-w9fx-j79w ↗
CVE-2026-109619 CRITICAL · CVSS 9.2
PHP 官方名稱

RCE via stale global state

前一個請求使用的資料在記憶體釋放後仍被保留,後續請求可能誤用該資料,進而造成遠端程式碼執行。

GHSA-6wmf-4rv5-p3rp ↗

官方列出的受影響範圍:PHP 8.2.35 之前的 8.2、8.3.36 之前的 8.3、8.4.27 之前的 8.4,以及 8.5.12 之前的 8.5。

官方修補版本:PHP 8.2.35、8.3.36、8.4.27、8.5.12。PHP 8.1 及更舊版本已停止官方支援;PHP 官方雖針對本次漏洞提供 7.4、8.0、8.1 的最小原始碼回補,但不代表這些版本重新取得官方支援。

PHP 官方說明,臨時降低暴露的設定不能完整排除風險,更新才是完整處理方式。

查看 PHP 官方安全公告

攻擊者可能執行惡意程式

攻擊者可能在未登入的情況下觸發惡意程式碼。實際影響取決於主機設定與網站程式權限。

內容與資料可能受影響

若漏洞遭利用,可能造成網站內容遭竄改、資料被讀取,或惡意檔案被寫入。

網站服務可能中斷

異常程式可能消耗主機資源、干擾網站運作,造成前臺、後臺或相關服務無法正常使用。

收到通知不代表網站已經遭到入侵。這份說明是預防性通知。網站是否曾被利用,需要依主機記錄、程式檔案及實際檢測結果判斷。

服務範圍

三種工作,處理的問題不同

網站可以正常運作,不代表能直接換到新的程式執行環境。每一層都有不同的維護責任。

01

主機維護

維持伺服器與 PHP 環境可用,處理主機設定、資源與服務運作。

02

網站維護與保固

依合約處理原約定環境下的既有功能異常及約定範圍內的調整。

03

PHP 版本升級

讓既有程式、框架及套件符合新版環境,並完成備份、修改、測試及正式切換。

常見問題

關於升級與費用

網站已有維護或保固,為什麼 PHP 升級還要收費?

原維護服務仍然有效。網站在原約定環境下發生的既有功能異常,我們會依合約範圍處理。

PHP 升級會改變網站的程式執行環境。為了讓原有網站能在新版環境正常運作,需要重新盤點程式、檢查套件、修改相容性問題並測試功能。這些是環境改版後新增的工作,因此需要另行評估與報價。

這不就是主機更新嗎?為什麼網站程式也需要調整?

主機可以安裝新版 PHP,但無法自動讓既有網站程式、框架及第三方套件相容。兩者的工作範圍不同。

如果只切換版本而沒有檢查,可能造成前臺空白、後臺無法登入、表單寄送失敗,或會員、付款與排程功能異常。因此,主機環境切換與網站相容性升級需要分開處理。

合約有第三方套件必要更新,為什麼這次不直接包含?

一般套件更新是指在既有網站架構及維護範圍內,可以直接更新或小幅調整的項目。

如果新版 PHP 導致套件不再相容、原套件已停止維護,或必須更換套件、升級框架及修改網站程式,工作已超出一般套件更新範圍。我們會先確認影響,再依實際項目報價,未經確認不會施工。

為什麼不能直接切換 PHP 版本?

每個網站使用的程式版本、套件及客製功能不同,不能只看主機設定判斷是否相容。有些問題不會在首頁立即出現,可能在表單、檔案上傳、排程、API、會員或付款功能實際操作時才發生。

我們會先保留原環境與備份,確認主要功能後再切換,並準備異常時的回復方式,降低網站中斷及資料受影響的風險。

升級費用包含哪些工作?

實際內容會依網站狀況確認,通常包含:

  • 盤點網站程式、框架、套件及 PHP 擴充功能。
  • 建立網站與資料庫備份。
  • 檢查並修改新版 PHP 的相容性問題。
  • 測試前臺、後臺及網站主要功能。
  • 安排正式切換並準備異常回復方式。
  • 處理約定期間內與本次升級直接相關的問題。

若檢查發現問題原本就屬於維護合約內的既有功能異常,該部分不會列入升級費用。

如果網站不需要修改程式,仍然需要費用嗎?

仍會有環境盤點、備份、版本切換、功能測試及回復準備等作業成本。若確認不需要修改程式,費用會依實際工作範圍計算,不會比照需要大幅修改的網站報價。

可以暫時不升級嗎?

可以由貴公司評估是否延後。但 PHP 版本停止官方支援後,後續發現的漏洞及錯誤不再取得該版本的一般官方修正,網站可能持續暴露於已知風險。

若暫時無法正式升級,我們可以依網站及主機條件評估過渡方案。過渡方案只能處理指定風險,不能取代正式升級。

收到通知,是否代表網站已經遭到入侵?

不是。漏洞公告表示特定環境存在可被利用的風險,不代表每個網站都已經遭到攻擊。

是否曾被利用,需要另外檢查主機存取記錄、網站程式檔案、帳號活動及其他異常狀況。版本升級是降低後續風險;若需要確認過去是否遭到入侵,則屬於另一項資安檢測工作。

作業方式

升級前先確認,再安排正式切換

每個網站的程式與功能不同。我們會依實際影響確認範圍,不會在未經同意的情況下增加工作或費用。

1

環境盤點

確認 PHP、框架、套件與網站主要功能。

2

範圍與報價

說明需要調整的項目、費用及預計工期。

3

調整與測試

完成備份、相容性修改及主要功能測試。

4

正式切換

安排切換時段,確認結果並保留回復方式。

PHP 版本支援狀態以官方資料為準:目前支援版本、停止支援版本。

需要確認您的網站是否受影響?

請提供網站網址與聯絡資訊,我們會依網站現況說明建議方案及後續處理方式。

聯絡我們