網站打得開、表單也能送出，不代表後端沒有資安風險。
2026 年 10 月，PHP 公布兩項嚴重資安漏洞。對委外建置、主機代管的企業來說，真正麻煩的往往不是「要不要更新 PHP」，而是出了漏洞後，企業根本不知道該找誰：網站公司、主機商，還是內部 IT？
這次事件正好可以拿來檢查一件事：公司的官網，到底有沒有人持續負責。
本文資訊更新至 2026 年 10 月 27 日，漏洞與修補版本以 TWCERT/CC 及 PHP 官方公告為準。
這次 PHP 漏洞是什麼？官網可能有哪些風險
PHP 是什麼？為什麼企業網站可能受到影響？
PHP 是網站後端常見的程式語言，WordPress、Drupal、Joomla 等內容管理系統都大量使用 PHP。
所以即使企業官網平常只是放公司介紹、產品資訊、案例與詢價表單，背後仍可能由 PHP 支撐。
2026 年 10 月 21 日，PHP 官方發布安全更新，修補兩項嚴重漏洞：
- CVE-2026-109618
- CVE-2026-109619
根據 TWCERT/CC 公告，兩項漏洞的 CVSS v4.0 評分皆為 9.2 分，攻擊者可能在未經身分驗證的情況下，利用漏洞在受影響伺服器執行程式碼。
這裡要先分清楚一件事。
「網站使用 PHP」不等於「網站已經被攻擊」，也不代表所有 PHP 網站都一定受到相同影響。真正需要確認的是目前使用的 PHP 版本、主機環境，以及安全修補是否已完成。
PHP 漏洞可能造成哪些企業營運風險？
對企業來說，PHP 漏洞不是單純的工程問題。
如果漏洞真的被利用，可能出現：
- 官網內容遭竄改，客戶看到錯誤資訊或異常頁面。
- 網站無法使用，產品頁、聯絡方式與詢價入口中斷。
- 詢價資料或網站內部資訊遭未授權存取。
- 網站被植入惡意程式，進一步影響訪客安全與品牌信任。
- 表單、通知信、會員或其他後台功能異常。
尤其 B2B 官網常是海外客戶第一次接觸企業的入口。
如果客戶正準備看規格、下載型錄或送出詢價，網站卻發生異常，損失的不只是流量，而可能是一筆正在評估中的商機。
因此真正需要處理的，不只是「PHP 有沒有更新」，而是企業能不能回答：誰知道網站現在用了什麼版本？誰負責更新？更新失敗又由誰處理？
網站有沒有用 PHP？該找誰確認？
先找出現在到底是誰在管網站
很多企業網站做完三、五年後，最常遇到的情況不是沒有廠商，而是沒有人說得清楚現在由誰負責。
可能是當年的網站設計公司還在，但只負責修改文字；主機則放在另一家廠商，網域又由公司內部人員續費。
這種情況一碰到資安漏洞，就很容易互相詢問，卻沒有人直接處理。
可以先把以下資料找出來：
- 當初的網站建置或維護合約。
- 主機與網域的繳費、請款紀錄。
- WordPress 或其他網站後台帳號。
- 主機控制台、FTP 或相關管理權限。
- 公司內部目前負責聯繫網站廠商的人。
如果網站已經用了很多年，甚至連原建置廠商都找不到，第一件事反而不是更新 PHP，而是先確認網域、主機與網站資料還能不能掌握。
否則真的出問題時，可能連要備份、搬站或找新廠商接手都很困難。
網站委外、主機代管，維護責任由誰負責？
網站是外包的這句話，其實還不夠。
網站程式和伺服器環境，可能是不同單位管理。
| 企業網站管理方式 | 建議先聯繫的對象 |
| 網站建置與主機都由廠商代管 | 網站建置或維護廠商 |
| 網站委外建置、主機由企業自行租用 | 主機商與網站建置廠商 |
| 企業內部 IT 自行管理 | 內部 IT 或資訊安全人員 |
| 使用 SaaS 架站平台 | 平台客服或官方技術公告 |
| 原建置廠商已無法聯繫 | 主機商及可承接維護的技術廠商 |
例如：網站公司負責 WordPress、版型與外掛，但主機上的 PHP 版本其實由主機商控制。
這時網站公司可能會說PHP 是主機商更新，主機商則只負責伺服器環境，不會替企業檢查 WordPress 更新後詢價表單有沒有壞掉。
問題不一定出在誰沒有做事，而是企業一開始就沒有把責任邊界問清楚。
網站委外後，遇到 PHP 漏洞直接問網站設計公司這 5 件事
面對 PHP 重大漏洞，企業不需要自行研究修補程式，但應要求網站廠商說明影響範圍、處理進度與後續風險。
企業不需要自己研究 CVE 或登入伺服器下指令，但至少要能拿到一個清楚的答案：目前有沒有影響、修好了沒有、修完有沒有驗證。
以下 5 個問題，可以直接透過 Email、LINE 或工作群組詢問，並保留書面回覆作為維護紀錄。
1. 我們官網現在使用哪個 PHP 版本？
第一個問題不要只問「有沒有影響」，而是直接請廠商說明目前版本。
依 2026 年 10 月 22 日 TWCERT/CC 公告，這次公告列出的 PHP 修補版本如下：
| PHP 版本分支 | 這次公告的修補版本 |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1（含）以下 | 官方已停止一般維護，需洽詢供應商修補或升級至受支援版本 |
實務上也不能只看數字。
部分主機或作業系統供應商會替既有版本回補安全修正，因此版本字串看起來沒有完全一樣，不代表一定沒有修補。
企業真正要拿到的答案應該是：
「目前官網使用哪個 PHP 版本？這個環境是否受到本次漏洞影響？判斷依據是什麼？」
這會比只得到一句「沒問題」有用得多。
2. 安全更新到底完成了沒有？
第二個問題很簡單，但不要停在「主機商會自動更新」。
「會更新」和「已經更新」是兩件事。
可以請廠商提供：
- 完成更新的日期。
- 更新後的 PHP 版本或安全修補資訊。
- 若由主機商處理，可提供對應公告或處理紀錄。
可以直接詢問：
「目前這次 PHP 漏洞是否已完成修補？方便提供完成日期、目前版本或主機商處理紀錄嗎？」
如果還沒有完成，也應該知道卡在哪裡。
是主機商尚未更新、網站程式需要先做相容性測試，還是舊系統本身已經不適合繼續使用？
這三種情況，後續處理方式完全不同。
3. PHP、WordPress、外掛，到底分別誰在維護？
這題常常比漏洞本身更重要。
不少企業以為付了「網站維護費」，就包含所有系統安全更新，但實際合約可能只寫內容修改、圖片更換與故障排除。
PHP 可能由主機商管理；WordPress 核心、佈景主題與外掛則由網站廠商處理；某些客製程式又可能需要原開發者協助。
所以可以直接問：
「PHP、網站系統、外掛與客製程式目前分別由哪個單位維護？遇到重大漏洞時，哪一方會主動通知？」
如果這一題沒有明確答案，就代表未來遇到下一次安全事件時，還是會重演同樣的確認流程。
4. 更新後，有沒有真的把網站功能跑過一遍？
PHP 升級成功，不代表網站工作就結束了。
企業網站如果用了較舊的外掛、佈景主題或客製功能，新版本 PHP 可能讓部分程式出現相容性問題。
而最麻煩的狀況通常不是整個網站打不開，而是首頁看起來正常，真正影響業務的功能悄悄失效。
例如：
- 詢價表單可以填，但信沒有寄出去。
- 表單送出後沒有進 CRM。
- 型錄下載失效。
- 後台某些頁面無法編輯。
- GA4 或 GTM 沒有正常記錄。
- 會員、經銷商或其他客製功能發生錯誤。
所以不要只問「網站正常嗎」，而要問：
更新後做了哪些功能測試？詢價表單、通知信、後台與追蹤設定是否都有確認？
對以官網取得商機的企業來說，這比首頁看起來有沒有正常重要得多。
5. 修補前有沒有留下異常紀錄？
把漏洞補起來，只是處理現在開始的風險。
企業還需要知道，在更新完成以前，有沒有出現過異常存取。
TWCERT/CC 也建議完成更新後檢視相關存取紀錄，確認是否存在異常活動或入侵跡象。
可以詢問：
這次更新後是否需要檢查主機或網站存取紀錄？如果發現異常，目前由哪個單位負責後續處理？
如果網站存放的資料較敏感，或廠商無法判斷紀錄是否正常，就可能需要另外找具資安能力的人員協助。
網站設計公司說已更新 PHP 漏洞處理，企業該怎麼確認？
網站設計公司回覆「已更新」「網站目前正常」，不代表 PHP 漏洞已經完成修補。
企業還需要知道實際更新了哪些項目，以及重要功能是否經過測試。
尤其網站與主機由不同廠商管理時，更應確認雙方是否完成處理，避免各自以為對方已經負責。
| 網站設計公司回覆 | 企業還需要確認什麼？ |
| PHP 已經更新 | 是否有更新日期與修補版本 |
| 主機商會自動處理 | 主機商是否已實際完成修補 |
| 網站目前正常 | 是否確認漏洞已修補，而非只有網站能開啟 |
| 已完成更新與功能測試 | 是否測試詢價表單、通知信及後台功能 |
| 提供修補與測試紀錄 | 是否評估修補前的異常存取紀錄 |
對企業而言，不需要看懂每一項技術細節，但網站設計公司至少應能協助釐清處理進度，並說明哪些項目由主機商負責、哪些由網站維護單位確認。
這些紀錄不只是為了應付這次漏洞，更能看出網站設計公司是否具備後續維護與問題協調能力。
沒有網站維護合約，才是很多企業真正的風險
網站做完很多年，只剩主機續費很常見
不少企業官網的實際狀態是：
網站建置完成後，每年照樣繳主機和網域費，但已經沒有固定維護。
只要網站沒有壞，大家就不會特別去碰它。
這種網站平常看起來最省事，一遇到 PHP、WordPress 或外掛重大漏洞，問題就會一次浮上來。
因為沒有人知道：
- 現在到底用了哪些版本。
- 最後一次備份是什麼時候。
- 外掛多久沒更新。
- 更新後會不會跟既有客製功能衝突。
- 原本寫網站的人還能不能處理。
如果公司目前沒有維護合約，可以先做三件事：
- 把網域、主機與網站後台權限找回來。
- 盤點 PHP、網站系統、外掛與備份狀況。
- 確定後續要由原廠商、主機商、內部 IT 或新的維護單位接手。
如果網站多年沒有更新，不建議看到漏洞新聞後就一次把所有版本升到最新。
沒有先備份、確認相容性，反而可能讓原本還能使用的網站直接出錯。
網站維護合約應包含哪些責任？
網站維護除了故障排除，也應包含例行更新、緊急處理及管理權限。
企業可以從以下項目檢查現有合約。
| 維護項目 | 企業應確認的內容 |
|---|---|
| 系統更新 | PHP、資料庫、網站系統與外掛由誰維護 |
| 緊急漏洞處理 | 發生重大漏洞後，多久內評估與回應 |
| 備份與還原 | 備份頻率、保存期限及還原測試 |
| 異常通知 | 網站發生問題時，誰負責通知與處理 |
| 版本生命週期 | 系統停止支援前，是否主動提出升級建議 |
| 帳號與權限 | 網域、主機及後台帳號是否能由企業掌握 |
| 合約結束交接 | 網站檔案、資料與管理權限如何移交 |
其中，版本生命週期值得特別留意。
依 TWCERT/CC 公告，PHP 8.2 將於 2026 年 12 月 31 日結束生命週期。
也就是說，即使這次 PHP 8.2 已更新至修補版本，企業還是得接著評估後續版本升級，而不是修完這一次就結束。
這也是為什麼網站維護不應該只在網站壞掉時才發生。
架站或改版時，不要只比較「做一個網站多少錢」
建置費便宜，不代表後續管理成本比較低
企業詢問網站製作時，常見的比較項目通常是頁數、版型、動畫、功能與總價。
但網站真正使用三到五年後，差異反而常出現在上線之後。
例如：A 廠商建置費較低，但主機、備份、版本更新與緊急處理都另外計費；B 廠商建置費較高，卻已把部分年度維護納入。
如果只比較第一年的建置價格，很難看出長期成本。
因此規劃新網站或改版時，除了問功能，也可以直接問：
- 網站使用哪些系統與主要技術版本？
- 這些版本預計支援到什麼時候？
- PHP、資料庫、網站系統與外掛未來誰更新？
- 發生重大安全漏洞時，多久內會通知？
- 每次更新後，哪些網站功能會重新測試？
- 網站資料多久備份一次？
- 企業是否擁有網域、主機與網站後台權限？
- 未來更換廠商，網站能不能完整交接？
還有一個很實際的問題：網站是不是只有原廠商能維護。
客製化本身不是問題，但如果網站用了大量沒有文件、只有原開發者看得懂的程式，一旦合作中止，之後的維護成本可能比當初建置費還高。
正在規劃網站，可以先參考
〈企業網站架設別急著比價！先搞懂 3 個需求，再選適合的網站方案〉；若正在整理產品與網站層級，也可搭配〈網站架構怎麼規劃？〉一起評估。
PHP 漏洞只是提醒，真正要補的是網站管理漏洞
這次 PHP 漏洞處理完，未來還是會有 WordPress、外掛、主機與其他程式版本需要更新。
所以企業真正需要建立的，不是一張「這次有沒有升級」的檢查表，而是一套有人負責、查得到紀錄，也知道出事該找誰的網站管理方式。
如果正準備重新架站或改版，可以趁規劃階段一起確認主機、備份、更新、權限與後續維護範圍。奇策可協助企業整理現有網站狀況與建置需求，讓網站從上線開始，就把後續管理責任一起規劃進去。
諮詢前可以先準備目前網站網址、主機資訊、既有維護合約，以及這次最想解決的網站問題。
PHP 漏洞與網站維護常見問題 FAQ
Q1：企業官網使用 WordPress，就一定受到 PHP 漏洞影響嗎？
不一定。WordPress 使用 PHP 運作，但是否受到這次漏洞影響，仍需確認主機的 PHP 版本、修補狀態及實際部署環境。企業應請網站廠商或主機商協助檢查。
Q2：主機商說會自動更新，還需要再確認嗎？
需要。各主機商的自動更新範圍與時程不同，不一定已涵蓋這次修補。建議請主機商提供更新完成日期與版本，再請網站廠商確認表單等功能正常。
Q3：網站是委外建置的，PHP 更新要另外付費嗎？
不一定。是否另外收費，取決於原本的網站維護合約及主機服務內容。企業應確認 PHP 更新是否屬於既有維護範圍，以及相容性調整是否另外計費。
Q4：PHP 更新會影響企業網站 SEO 排名嗎？
正常的安全更新不一定會影響 SEO 排名。但如果更新造成網站無法開啟、重要頁面異常或內容無法被搜尋引擎讀取，可能間接影響搜尋表現。因此更新後應同步檢查網站功能與可存取性。
Q5：這次漏洞已經有實際攻擊案例了嗎？
依 TWCERT/CC 10 月 22 日公告，歐盟資安單位指出，初步的攻擊驗證程式已開始流傳，遭利用的可能性升高；日本 IPA 則在修補發布前表示，尚未確認有利用此漏洞的攻擊。情況可能持續變化，建議以最新公告為準，不要等到出現案例才處理。
奇策可協助企業先釐清問題與需求，再規劃適合的執行方向。
ＭＯＲＮＩＮＧ執行長
網站規劃顧問
期望透過1６年數位行銷實務經驗，協助大量傳統產業跨越數位門檻、實踐轉型升級，目前已累積服務超過300家以上客戶。
Let’s start
