PHP 版本停止支援怎麼辦？企業網站的升級判斷與時程規劃

PHP 停止支援是什麼意思？

PHP 停止支援（End of Life）是指 PHP 官方不再替該版本發布任何安全修補。 截至 2026 年 11 月，PHP 7.4、8.0、8.1 都已停止支援，8.2 將在 2026 年 12 月 31 日停止，還在用這幾個版本的網站，之後發現的漏洞都不會有官方修正。

打個比方：PHP 像大樓的鋼筋結構，網站的頁面和功能蓋在它上面。停止支援就像建商宣布不再派人檢修，大樓還是能住，只是之後發現結構問題，得自己想辦法。

跟客戶聊時常聽到一句話：「網站又沒壞，為什麼要升級？」這句話在大多數時候說得通，直到漏洞出現的那一天。

2026 年 10 月的 PHP2Shell 事件說明了什麼

2026 年 10 月 21 日，PHP 官方發布緊急修補，處理兩個代號 PHP2Shell 的漏洞（CVE-2026-109618、CVE-2026-109619），嚴重度都是 CVSS 9.2。這兩個漏洞發生在 PHP 解析網路請求的階段，網站的程式還沒開始執行就能被攻擊，攻擊者不需要登入，網站自己的登入機制和表單驗證都擋不住。

這次事件有三點值得企業主記住：

• 正式修補版只發給 8.2 以上：8.2.35、8.3.36、8.4.27、8.5.12。7.4、8.0、8.1 只拿到原始碼層級的修補，要等主機商或作業系統廠商自己重新打包，有的主機商動作慢，有的乾脆不做。
• 攻擊比公告來得早：國外雲端業者在公開前 4 天就觀察到攻擊嘗試，公告後幾天內就出現大量自動化掃描。駭客掃的是整個網路，不會挑公司大小。
• 主機商升級 PHP，不代表網站沒事：很多網站卡在舊版，正是因為程式一換新版就會出錯，主機商不敢動。

講白一點，停止支援的風險平常看不到，要等到下一個像 PHP2Shell 這樣的漏洞出現，才會一次付出代價。

各版本的支援期限

目前的 PHP 版本有 2 年的一般支援（修錯誤加安全修補），之後 2 年只修安全問題，總共約 4 年。下表是目前各版本的狀態：

我會建議升級時直接跳到 8.4 或 8.5。只升到 8.3，明年底又要再做一次，等於同樣的測試付兩次錢。

先查清楚：你的網站用哪個 PHP 版本

實務上常看到的狀況是，老闆連網站用哪個版本都不知道，當初的廠商也聯絡不上了。查版本有三種方法：

1. 問維護廠商或主機商：請對方提供網站「實際執行」的 PHP 版本。同一台主機可能同時裝了好幾個版本，主機控制台顯示的不一定是網站在用的那個。
2. 登入主機控制台：cPanel、Plesk 這類控制台通常有「PHP 版本」或「PHP 設定」頁面。
3. 看網站回應標頭：有些網站會在回應中帶出 PHP 版本號，但多數主機為了安全會把它隱藏，查不到是正常的。

順便確認網站用的是哪一套內容管理系統或程式框架，以及它本身的版本。框架也有自己的支援期限，舊版框架常常不支援新版 PHP，所以 PHP 和框架往往要一起升。

三種做法比較：不升級、買延長支援、升級

查到網站用的是停止支援的版本後，實際上有三條路：

我的判準很簡單：網站還要再用 2 年以上，就升級；半年內要整站改版，就把錢留給改版，過渡期請主機商套上暫時的防護設定。最不建議的是「先不管，等出事再說」，網站被駭後的清除與復原，花費和停機時間通常比升級多。

PHP 升級實際要動到哪些地方

很多人以為升級 PHP 就是「主機商按一個按鈕」。按鈕確實存在，但按下去之後，舊網站常見的結果是空白頁、後台登不進去，或是結帳時出錯。原因在於這幾個地方要一起改：

• 網站程式本身：新版 PHP 拿掉了一些舊寫法，寫得越早的網站要改的越多。從 7.4 跳到 8.4 是跨了好幾個版本，改動量和從 8.2 升到 8.4 差很多。
• 外掛與套件：網站用到的外掛與程式套件都要換成支援新版的版本，有些停更的外掛得找替代品。
• 金流與電子發票串接：金流商、電子發票廠商的程式套件常常要一起更新，而且要在測試環境實際刷一筆、開一張發票，確認付款狀態和通知信都正常。
• 資料庫語法：少數舊寫法在新版的資料庫連線方式下會出錯。

工期依網站規模而定：有會員、購物車、金流或多語系的網站，要測的項目多，時間也比較長。還在用 8.2 的網站，建議現在就請廠商評估排程，才來得及在年底前完成。

升級前後必做的檢查清單

找廠商升級時，下面這張表可以直接拿來問。好的回答會讓你知道對方做過，壞的回答代表風險留給你自己扛：

升級完成後，第一週要特別留意錯誤紀錄、表單通知信有沒有正常寄出，以及訂單和付款狀態。建議同時把 PHP 版本列進每年的網站維護項目，在支援到期前一年就排好下一次升級，不要每次都等到漏洞公告才處理。維護預算怎麼抓，可以參考客製化網站的維護成本。

結語：在下一個漏洞出現前排好升級

PHP 升級沒有人會覺得有趣，但它是網站資安裡少數「做了就有效」的事。根據元伸科技 24 年的經驗，記住這 3 點：

1. 先查版本，再決定要不要花錢：知道網站和主機實際用的 PHP 與框架版本，才有辦法判斷風險。
2. 網站還要用 2 年以上就升級，直接升到 8.4 以上：避免明年又重做一次同樣的測試。
3. 升級一定要先在測試站完成：備份、逐項驗收、再上線，正式網站在施工期間照常營運。

如果不確定網站目前的狀況，可以先參考網站資安防護指南做一次盤點，或把網址交給 元伸科技 幫你看一下版本與需要動到的範圍。