作者：一塵網絡營銷團隊（Google SEO / GEO 顧問）
先講結論：今個星期，請向主機商確認 PHP 已更新
近日有報道指出，PHP 出現兩個嚴重漏洞，多國有政府網站一度暫停服務，以防被入侵；報道亦提到，香港仍有不少網站使用舊版 PHP。
PHP 是很多網站背後運作的程式語言，WordPress 亦是用 PHP 寫成。如果你的公司網站用 WordPress，這次更新就和你有關。
官方怎樣說：兩個漏洞，評分「嚴重」
PHP 官方網站於 2026 年 10 月 21 日發出安全公告：兩個漏洞（CVE-2026-109618、CVE-2026-109619）可讓攻擊者毋須登入，便在伺服器上遠端執行程式碼。美國國家漏洞資料庫列出的 CVSS 4.0 評分為 9.2，屬「嚴重」級別。
官方建議盡快更新至 8.5.12、8.4.27、8.3.36 或 8.2.35；PHP 8.1 或更舊版本，官方已不再提供更新。另外要留意，按 PHP 官方的支援時間表，8.2 的安全支援只到 2026 年 12 月 31 日，即是兩個多月後。
為甚麼和 Google 搜尋有關？
網站被入侵，攻擊者可能加入垃圾連結或轉址。我們在 10 月 21 日的文章已講過被黑網站的檢查方法，今次集中講「更新」和「停機」。
更新時網站或需短暫維護。Google 搜尋中心說明，如需緊急停用網站一至兩天，應顯示說明頁並回傳 503 狀態碼；長時間停用，網頁可能從索引中移除，重新上線後亦不確定要多久才回復。所以維護要短、要有計劃，而不是索性關站。
WordPress 網站：只是「能用」並不足夠
WordPress.org 建議主機支援 PHP 8.3 或以上。它亦說明，WordPress 在 PHP 7.4 等舊環境仍可運作，但這些版本已停止官方支援，網站可能因此暴露於保安漏洞。換句話說，網站「打得開」不代表安全。
很多香港中小企的網站多年前建好後便沒有再更新，老闆通常不知道網站用哪個 PHP 版本，也不知道主機合約有沒有包括系統更新。今次漏洞正好提醒大家：網站維護不只是改內容，背後的系統版本同樣要有人負責。
實操清單：5 步檢查
- 查 PHP 版本：WordPress 後台「工具 → 網站狀態 → 資訊 → 伺服器」可看到 PHP 版本；看不到就問主機商。
- 對照修補版本：例如顯示 8.3.36 或以上便已修補；8.1 或更舊，要安排升級。
- 先備份，再更新：先更新 WordPress、佈景主題和外掛，確認支援新版 PHP，然後才升級 PHP。
- 安排短時間維護：揀深夜或客人少的時段；需要暫停時，用 503 維護頁，不要刪除網頁。
- 更新後檢查：查詢表格、購物車、WhatsApp 按鈕是否正常；再看 Search Console 有沒有錯誤。
假設你在觀塘經營一間裝修公司，網站幾年前由朋友幫手架設，之後無人打理。這類網站最容易停留在舊版 PHP，今次正好一併檢查。
Q&A：香港中小企最常問的 PHP 更新問題
問：我用網頁寄存服務，要自己更新 PHP 嗎？
答：很多主機商會代為更新，但版本選擇可能要你自己在控制台切換。最穩妥是直接問主機商。
問：升級 PHP 會令網站壞掉嗎？
答：舊外掛或舊主題有機會不兼容，所以要先備份、先更新外掛，再升級 PHP。
問：更新後排名會上升嗎？
答：不能保證。我們不作排名保證；更新是為了減少被入侵和停機的風險。
不肯定網站用哪個 PHP 版本？
一塵網絡營銷可為你做一次免費網站健康檢查：看看網站用哪個 PHP 版本、外掛是否過時、Search Console 有沒有安全或索引問題，不作排名保證。歡迎 WhatsApp +852 6739 8296、電郵 support@dusthk.com，或經聯絡我們頁面查詢。亦可參考我們的 Google SEO 服務。
資料來源：PHP 官方網站安全公告及〈Supported Versions〉頁（2026 年 10 月 23 日讀取）；美國國家漏洞資料庫 CVE-2026-109618、CVE-2026-109619；WordPress.org〈Requirements〉；Google 搜尋中心〈暫停或停用網站〉說明。
註：本文由一塵網絡營銷團隊整理及撰寫；部分資料整理曾使用 AI 工具輔助，全文已由團隊人工審閱及核實。本文只供一般參考，具體更新步驟請按你的主機商指引。