資料核對：2026 年 10 月 22 日（香港時間）。 適合香港中小企、學校、機構及網站負責人。先確認網站使用甚麼、供應商做了甚麼，再決定需要哪些協助。
香港媒體已報道，先看清楚再行動
《香港01》於 10 月 21 日刊登、22 日更新 PHP 漏洞報道；《星島頭條》於 22 日報道，提醒網站負責人盤點系統及核對修補。以下只截取標題及日期，完整內容請到原網站閱讀。
截圖於 2026 年 10 月 22 日擷取，新聞版權屬原媒體；新聞背景參考並非媒體推薦本服務。標題提及的 PHP 普及率，不代表每個網站都存在漏洞或已遭入侵。技術判斷以最新官方公告及實際環境為準。
PHP 與 Node.js，是兩組不同的安全更新
PHP：官方於 10 月 21 日公布 CVE-2026-109618 及 CVE-2026-109619 的修補，涉及未經驗證的遠端程式碼執行風險。當次官方修補版本為 8.2.35、8.3.36、8.4.27、8.5.12；使用 PHP 處理網頁請求的部署應盡快核對。查看 PHP 官方公告 ↗
Node.js：官方同日為 22.x、24.x、26.x 發布另一組安全更新，當次版本為 22.23.4、24.22.1、26.12.1，最高嚴重程度為 High，並包括相依元件更新。這不是上述兩項 PHP 漏洞。查看 Node.js 官方公告 ↗
以上為今次發布的版本基準，日後可能有更新。供應商亦可能把修補回移植（backport）到原有版本；不能只憑版本號判定有漏洞或已修好，應核對套件修訂、供應商公告及實際運行環境。
網站負責人應確認的六件事
- 網站實際用甚麼？ WordPress 使用 PHP；只更新 WordPress、外掛或佈景主題，不等於已更新伺服器 PHP。
- 有 JavaScript，就有 Node.js？ 不是。瀏覽器執行 JavaScript，不代表伺服器使用 Node.js。請向開發者確認後台、API、建置及部署服務的 runtime。
- 主機商是否已處理？ 索取對應網站或伺服器的修補／保護確認，包括生效時間及涵蓋範圍。不要只看管理面板顯示的版本。
- 全部環境都涵蓋嗎？ 留意正式網站、子網域、測試站、舊站、容器及背景服務；如需重啟服務或重建映像，請由獲授權人員確認完成。
- 更新前後如何核對？ 先確認備份及回復安排，再按約定測試登入、表單、付款或其他指定功能。不要在沒有備份及相容性安排下盲目切換重大版本。
- 有沒有過往異常？ 網站仍能正常顯示，不足以證明沒有風險。完成修補亦不等於排除過往入侵；如曾出現不明轉址、陌生內容或可疑帳戶，應另行診斷。
使用 SiteGround 或其他管理式主機，先問供應商
SiteGround 的公告表示，已在其伺服器層為今次 PHP 漏洞部署保護，客戶毋須為該項保護自行切換 PHP 版本。這是 PHP 的供應商保護公告，不能解讀為 Node.js 亦已修補，也不能代替對過往入侵的調查。查看 SiteGround 原文 ↗
其他主機商亦可能已更新、提供 backport 或部署緩解措施，請先確認各自的處理方式。如供應商已完成適用修補，我們會如實告知，不建議重複購買不必要的更新。未能即時修補時，應由獲授權團隊依官方及供應商指引評估暫時限制曝露；單放一個維護頁面並不等於底層已修好。參考澳洲 ACSC 提醒 ↗
按需要委託，開始前確認收費
免費公開資料初檢
免費
毋須密碼。先審視您提供的網址及公開資料，提供初步觀察與處理建議；不等同完整漏洞檢查，也不能從公開資料確認所有 runtime、修補或入侵狀態。
技術診斷
HK$680／站
最多 1 小時，經授權核對實際環境與修補狀態。7 日內委託修補，診斷費可全數抵扣修補費，並非額外再收。
標準網站安全更新
HK$1,480 起／站
單站、最多 2 小時，包含備份、可用更新、指定功能測試及處理摘要；適用範圍先確認。
VPS／舊伺服器修補
HK$2,980 起／部
須先確認網站數量、runtime 及具體工作範圍，再提供書面報價。
清毒、重大版本遷移、程式相容性修復及第三方費用另報。 費用及工作範圍在開始前書面確認；超出範圍先報價，獲同意後才處理。現有維護客戶先按合約安排。
上述時數是服務範圍上限，並非承諾所有網站可在固定時間修好。我們不保證 100% 安全或永不再入侵；交付時會清楚列出已完成及仍待處理事項。
由初步了解，到交代處理結果
- 初步了解：提交網址、主機商及已知系統資料；先以公開資料整理方向。
- 授權診斷：有需要才安排技術診斷，另行確認授權及安全存取方式。
- 確認報價及備份：書面列明費用、範圍、指定測試及回復安排。
- 更新或協調主機商：按核實情況處理，供應商已修補則如實記錄。
- 功能測試：核對約定的頁面與功能，記錄結果及限制。
- 交付已完成及待處理事項：交代更新、核對結果及下一步建議。
提交網址，取得免費初檢 ↗。請勿在公開查詢表填寫密碼、SSH key、存取金鑰或其他機密。初檢由團隊審視，並非即時自動掃描。
官方來源及資料日期
資料核對日期：2026 年 10 月 22 日（香港時間）。公告可能更新，實際修補狀態須向供應商及獲授權管理員確認。
- PHP 官方：最新安全公告及修補版本
- Node.js 官方：October 2026 Security Releases
- 澳洲 ACSC：Critical vulnerabilities in PHP
- SiteGround：今次 PHP 伺服器層保護公告
本頁由 HK Web Rescue 整理公開資料，沒有對第三方網站執行漏洞掃描。了解其他網站服務，或聯絡 contact@hkwebrescue.com。