PHP 漏洞消息發布後，iWare 馬亞科技如何第一時間應變?

🔐 這次 PHP 漏洞發生了什麼事？

本次 PHP 公布的重大安全漏洞涉及遠端程式碼執行（Remote Code Execution，RCE）風險。

RCE 類型漏洞之所以受到高度關注，是因為在符合特定攻擊條件的情況下，攻擊者可能透過漏洞執行未經授權的程式碼，進而對網站或主機環境造成安全威脅。

PHP 官方已針對仍在支援範圍內的版本陸續發布安全修補版本。

因此，對企業網站而言，目前最重要的不是恐慌，而是先確認：

🔎 網站是否使用 PHP？
🔎 目前使用哪一個 PHP 版本？
🔎 是否仍在官方安全支援範圍？
🔎 是否已有對應的安全修補版本？

只有先確認網站實際環境，才能採取正確的處理方式。

🛡️ PHP 漏洞消息發布後，iWare 馬亞如何第一時間應變？

資安漏洞發生後，網站維運不能只是等待客戶詢問才開始處理。

我們在取得相關漏洞資訊後，立即針對事件內容及 PHP 官方安全資訊進行確認，並依維護網站的實際環境展開版本盤點與風險評估。

📌 整體處理流程包括：

STEP 1｜確認官方漏洞資訊
確認漏洞內容、影響範圍、風險等級，以及 PHP 官方公布的安全修補版本。

STEP 2｜盤點網站 PHP 版本
確認各網站目前使用的 PHP 版本，判斷是否仍屬官方安全維護範圍。

STEP 3｜判斷處理方式
依 PHP 版本區分「安全版本更新」或「跨版本升級」，避免直接升級造成網站程式不相容。

STEP 4｜進行網站與主機備份
正式異動環境前先完成必要備份，降低更新過程發生異常時的營運風險。

STEP 5｜執行 PHP 安全更新或版本升級
依網站實際環境更新 PHP。若屬較舊版本網站，則先進行程式與套件相容性評估。

STEP 6｜網站功能確認
更新完成後，確認網站首頁、主要前台功能、後台及重要服務是否可正常運作。

這也是我們在網站維護服務中一直重視的核心：資安事件發生時，不迴避問題，而是快速確認、快速判斷、快速處理。

━━━━━━━━━━━━━━

💡 網站使用 PHP 8.x，就代表一定安全嗎？

不一定。

「PHP 8.x」只代表主要版本系列，實際是否安全，仍必須確認完整版本號，以及該版本目前是否仍受到 PHP 官方安全維護。

以 PHP 官方支援週期而言，不同 PHP 版本都有各自的 Active Support（主動支援）與 Security Support（安全支援）期限。

一旦超過官方維護期限，即使網站目前仍然可以正常執行，也代表未來發現新的 PHP 安全漏洞時，可能無法再取得官方安全更新。

━━━━━━━━━━━━━━

🔧 PHP 版本仍受支援：優先進行安全版本更新

如果網站目前使用的 PHP 版本仍有官方安全支援，通常可依 PHP 官方發布的安全版本進行更新。

這類更新主要屬於同一 PHP 主版本中的安全修補，例如由既有 PHP 8.3.x 更新至官方發布的 PHP 8.3 安全版本。

相較於跨 PHP 主版本升級，此類安全更新對既有網站程式的相容性影響通常較低。

iWare 馬亞科技在執行更新時，仍會依循：

環境確認 → 備份 → PHP 安全更新 → 服務重新啟動 → 網站功能確認 → 完成

⚠️ 需要注意的是，PHP 環境切換及相關服務重新啟動期間，網站可能會有短暫數分鐘無法連線的情況。因此，更新前的作業規劃、備份及更新後功能確認同樣重要。

━━━━━━━━━━━━━━

🔄 PHP 版本進入 EOL，該怎麼辦？

EOL（End of Life）代表版本已結束生命週期。當 PHP 版本進入 EOL 後，代表官方已停止正常安全維護。

即使網站現在仍可正常使用，一旦後續再發現新的安全漏洞，就可能面臨沒有官方安全修補版本可以直接更新的情況。

這類網站通常需要進一步進行 PHP 版本升級。

因此，我們對於舊版 PHP 網站會先進行環境及程式評估，再規劃升級。

📌 標準流程為：

現行環境盤點 → 程式與套件相容性檢查 → 確認目標 PHP 版本 → 建立備份 → 測試環境升級 → 不相容程式調整 → 功能測試 → 正式環境切換 → 前後台驗證

這也是為什麼「PHP 安全更新」與「舊網站 PHP 版本升級」是兩種不同層級的工作。

前者以安全修補為主；後者則可能涉及程式調整、測試及網站環境升級，需要依實際網站架構進行技術評估。

━━━━━━━━━━━━━━

🌐 PHP 升級時，網站會不會斷線？

如果是同一 PHP 主版本內的安全更新，通常影響時間較短。但在 PHP 服務重新啟動或正式環境切換期間，網站仍可能出現短暫無法連線的情況，實際時間會依網站及主機環境而有所不同。

我們原則上會先進行程式相容性確認及測試，再安排正式環境切換，避免直接在正式網站上嘗試升級。

網站維運的目標不是承諾「更新過程絕對零中斷」，而是透過事前評估、完整備份、測試驗證及適當的切換流程，將服務影響與升級風險降到最低。

━━━━━━━━━━━━━━

🤝 面對網站資安事件，iWare 馬亞科技選擇第一時間面對與處理

沒有任何一套長期運作的網站系統，可以合理宣稱永遠不會遇到新的資安漏洞。

作業系統、PHP、Framework、第三方套件及網站相關技術都持續演進，新漏洞也可能隨時被研究人員發現並公布。

因此，iWare 馬亞科技認為專業網站維運真正重要的能力，是在問題出現之後：

✅ 快速掌握資訊
✅ 確認影響
✅ 評估風險
✅ 提出處理方案
✅ 完成安全更新
✅ 確認網站服務正常

我們不迴避資安風險，也不以「網站現在還能正常使用」作為安全與否的判斷標準。

第一時間發現問題、直面問題、解決問題，並協助客戶持續維持網站穩定與安全，才是 iWare 馬亞科技對網站維運服務的責任。