文／Laban（優創智能 AI 導入工程師）
PHP 版本更新，是把官網的執行環境換到 PHP 官方仍在提供安全修補的版本。結論先講：2026 年底前，官網應該升到 PHP 8.4 或 8.5。8.2 將在 2026 年 12 月 31 日停止支援，8.1 以下已經沒有官方修補；2026 年 10 月 21 日的 PHP2Shell 漏洞，就讓停在舊版的網站只能限制存取或暫時下線。
本文寫給官網負責人與老闆，回答四個問題：PHP 版本為什麼有保存期限、停在舊版要付出什麼代價、升級會不會讓網站壞掉，以及該升級、換主機還是改架構。本文不談 PHP 語法新功能，那是工程師的事；老闆要決定的是時程、負責人與預算。
一、PHP 版本也有保存期限：2026–2029 停止支援日曆
PHP 每年年底發布一個新分支。每個分支先有 2 年「主動支援」（修錯誤也修安全問題），再有 2 年「安全支援」（只修安全問題），之後就停止維護。以下整理自 php.net 支援版本表（2026-10-22 查詢）：
| PHP 分支 | 發布日期 | 主動支援到 | 安全支援到 | 現在的狀態 |
|---|---|---|---|---|
| 8.1 以下（含 7.x） | — | — | 已結束 | 沒有官方修補 |
| 8.2 | 2022-12-08 | 2024-12-31 | 2026-12-31 | 只剩約兩個月 |
| 8.3 | 2023-11-23 | 2025-12-31 | 2027-12-31 | 只修安全問題 |
| 8.4 | 2024-11-21 | 2026-12-31 | 2028-12-31 | 建議升級目標 |
| 8.5 | 2025-11-20 | 2027-12-31 | 2029-12-31 | 建議升級目標 |
停止支援不代表網站會立刻壞掉，而是代表下一次出事時，沒有人會替你修。這就像車子過了保固期：平常照開，但零件出問題時，原廠不再提供。
二、停在舊版的 4 個代價
1. 漏洞出現時沒有修補可裝
這是最直接的代價。PHP2Shell 是兩個 CVSS 9.2 的核心漏洞，攻擊者不用登入就可能從遠端執行程式。PHP 官方在 10 月 21 日發布 8.2 到 8.5 的修補版本；8.1 以下只有給自行編譯者用的原始碼修補，一般虛擬主機用戶實際上拿不到。
數位發展部資安署在 10 月 22 日也發布新聞稿，呼籲使用 PHP 的機關、學校與企業盤點系統、儘速完成更新，並提醒 WordPress、Drupal、Joomla、Magento 等系統的底層都是 PHP。
2. 被入侵後，搜尋排名與點擊一起受傷
網站被駭，損失不只是資料。Google 懷疑網站遭入侵時，可能在搜尋結果標示「這個網站可能遭到入侵」，並在 Search Console 的「安全性問題」列出受影響的網址（Google Search Console 說明）。要拿掉標示，必須清除惡意內容、修好被利用的漏洞，再申請審查；只清內容不修漏洞，很容易再次被入侵。
對靠官網接詢問的企業來說，這段期間的搜尋流量損失，往往比修網站本身更貴。
3. 主機商會替你決定升級時間
虛擬主機商不會無限期提供舊版 PHP。當主機商公告移除某個版本，你只剩幾週時間處理；如果網站有不相容的外掛，就是在時間壓力下修網站。自己排的升級是專案，主機商逼的升級是事故。
4. 外掛與功能卡住，越拖越難升
WordPress 外掛與佈景主題會逐步停止支援舊版 PHP。停在舊版，外掛就不能更新；外掛不能更新，又讓網站更難升 PHP。拖越久，一次要跨的版本越多，升級工作量越大。
三、升級會不會讓網站壞掉？
會不會壞，取決於網站上「很久沒人更新的東西」有多少。
| 風險來源 | 風險高低 | 說明 |
|---|---|---|
| 同分支小版本更新（如 8.3.30 → 8.3.36） | 低 | 只有修補，不改功能 |
| WordPress 核心 | 低 | 核心持續支援新版 PHP |
| 有在維護的熱門外掛 | 低到中 | 通常已支援新版，先更新外掛再升 PHP |
| 多年沒更新的外掛或佈景主題 | 高 | 最常見的白畫面與錯誤來源 |
| 前任工程師寫的客製程式 | 高 | 需要工程師檢查舊寫法 |
升級後常見的狀況是白畫面、部分功能失效或後台出現大量警告。只要事先備份、先在測試站試，這些都能在正式站受影響之前發現。
四、5 步驟安全升級 PHP
步驟 1：查出目前的 PHP 版本與網站組成
在 WordPress 後台「工具 → 網站健康狀態 → 資訊 → 伺服器」看 PHP 版本，同時列出使用中的外掛、佈景主題，以及有沒有客製程式。版本對照第一節的日曆，就知道你離停止支援還有多久。
步驟 2：完整備份網站檔案與資料庫
備份要包含網站檔案與資料庫兩部分，並確認備份能還原。只有檔案沒有資料庫，或備份從來沒有還原過，都不算備份。
步驟 3：先更新外掛與佈景主題，再在測試站切換 PHP
先把外掛與佈景主題更新到最新版，移除不再使用的外掛。接著在測試站（多數主機提供「暫存網站」功能）切換到目標版本，逐頁測試首頁、表單、購物車、會員登入等主要功能，並查看錯誤紀錄。
步驟 4：選低流量時段升級正式站
測試站沒問題後，選詢問量最低的時段切換正式站，並保留切回原版本的方法。升級後再走一次主要功能，特別是聯絡表單：表單壞掉不會有人通知你，只會少了詢問。
步驟 5：排好下一次升級的日期
升完後，把目前分支的停止支援日期記進行事曆，提前半年開始規劃下一次升級。同時確認誰負責日常的安全修補：主機商、外包工程師，還是內部人員。
五、升級、換主機還是改架構？
不是每個官網都適合「原地升級」。依網站狀況，選擇其中一條路：
| 網站狀況 | 建議做法 | 理由 |
|---|---|---|
| 外掛有在維護、功能還在用 | 原地升級到 8.4 或 8.5 | 成本最低 |
| 主機很舊、控制台不能切版本 | 換到有人負責更新的代管主機 | 讓合約寫明誰負責安全更新 |
| 停在 7.x、外掛多年沒更新、沒人敢動 | 評估重建或搬遷 | 硬升級的修補成本可能高於重建 |
| 內容以介紹、作品、文章為主，沒有會員或購物車 | 改成靜態網站或非 PHP 架構 | 沒有 PHP 執行環境，這類漏洞就不在範圍內 |
判斷方法只要問一個問題：「下次 PHP 再出重大漏洞，誰會在當天幫我更新？」 答不出來，就代表現在的架構需要調整。想評估搬遷的成本與時程，可以參考我們的網站遷移服務。
六、把 PHP 更新寫進維護合約
很多官網停在舊版，不是因為技術做不到，而是因為網站上線後就沒有人被指定負責。如果官網由外包廠商或主機商維護，合約裡至少要寫清楚四件事：
- 誰負責同分支的安全修補，緊急漏洞要在幾小時內處理。
- 誰負責跨分支升級，在停止支援前多久完成。
- 升級前的備份與測試由誰執行，出問題時怎麼切回。
- 每季或每半年回報一次網站使用的 PHP 版本與外掛狀態。
這四點寫進合約，PHP 版本更新就從「出事才處理」變成「每年固定做的保養」。
七、不確定你的官網該怎麼做？
如果你不知道官網目前是哪個 PHP 版本、主機能不能切換，或外掛升級後會不會出問題，歡迎填寫諮詢表單，預約官網健檢。請在表單留下網址與目前的主機商，我們會先盤點 PHP 版本、外掛與主機狀況，再建議原地升級、換主機或重建哪一條路最省事。
驗收標準：讀完本文後，你應該能回答三個問題——官網目前用的 PHP 版本在什麼時候停止支援、下一次升級排在哪一天、誰負責執行。三題都有答案，PHP 版本更新就不再是風險，而是排好的工作。
參考來源
- PHP 官方，〈Supported Versions〉，2026-10-22 查詢：https://www.php.net/supported-versions.php
- PHP 官方，〈PHP 2026 News Archive〉（PHP2Shell 安全公告與各分支發布說明），2026-10-21：https://www.php.net/archive/2026.php
- 數位發展部資通安全署，〈網站開發程式語言PHP釋出緊急安全更新 資安署呼籲儘速完成修補〉，2026-10-22：https://moda.gov.tw/ACS/press/news/press/21134
- Google Search Console 說明，〈Why is my site labeled as dangerous in Google Search?〉：https://support.google.com/webmasters/answer/6347750
相關推薦與延伸閱讀
- AI Agent 可讀性與 GEO：把可讀性變成可測試的內容契約：建立 AI agent 可讀性的驗收方法：分開檢查 HTTP 內容、瀏覽器操作、資料一致性及實際引用，避免把技術檢查通過誤當成引擎採用證據。本文先定義四個可測試
- AI crawler 存取治理：用 robots.txt、WAF 與日誌驗證 GEO 可見性：以 robots.txt、WAF 與日誌排查特定爬蟲的存取問題，分清模擬請求、已驗證來源及實際 AI 引用；技術通過不等於被採用。本文先把三種控制分開，用請求路
- GEO 實作：AI crawler 存取治理，為什麼 robots.txt 不是防火牆：robots.txt 只是意願宣告，不是防火牆。本文拆解 AI crawler 的意願宣告、流量觀測、強制封鎖與回歸測試四段治理流程，說明如何掌握誰在讀、讀什麼