11 個已屬 EOL 分支 九巴、28Car 榜上有名
【瞓醒未 ... 😆】面對 CVSS v4.0 評分高達 9.2 的 PHP 重大漏洞，不少大型網站寧願在 PHP 緊急安全修補程式上線前「斷線關站」也不願冒上風險，但香港目前仍有大型網站「當唔知」。本港資安研究員 Mike Ng 在 22 日中午 12 時針對香港 198 個熱門網域進行被動觀測，發現包括九巴（KMB）、新大嶼山巴士、28Car、DCFever 等 13 個香港知名網站，其伺服器公開回應的 HTTP 標頭（Header）中，仍回報低於官方修補標準的舊版 PHP，部分甚至沿用已終止支援（EOL）逾十年的版本。
美國網路安全暨基礎設施安全局（CISA）已於 21 日發布緊急警報，指出無法立即完成更新、或仍在使用 PHP 8.1 及更早前未受支援版本的機構，應即時將相關 PHP 系統下線，直至完成修補或升級；然而香港仍然有大型網站完全無視安全風險，不更新、不下線，「主打一個你來偷吧」。
獨立資安觀測者 Mike Ng 於 2026 年 10 月 22 日對 198 個香港網站網域展開被動檢測。結果顯示，在可辨識 PHP 版本的站點中，有 13 個網站自報的 PHP 版本均低於所屬分支的安全更新版本，其中更有 9 個網站所採用的分支早已停止官方維護（EOL）。
www. 28car .com：回報 PHP/5.3.3（該分支已於 2014 年終止支援，官方上游已無修補程式）。
www. nlb .com .hk（新大嶼山巴士）：回報 PHP/5.4.16（2015 年終止支援，官方上游已無修補程式）。
www. dcfever .com：回報 PHP/5.6.30（2018 年終止支援，官方上游已無修補程式）。
www. weekendhk .com（新假期）：回報 PHP/7.0.33（2019 年 1 月終止支援，官方上游已無修補程式）。
www. sundaykiss .com：回報 PHP/7.0.33（2019 年 1 月終止支援，官方上游已無修補程式）。
www. eprice.com .hk：回報 PHP/7.2.34（2020 年 11 月終止支援，官方上游已無修補程式）。
www. ulifestyle.com .hk：回報 PHP/7.3.8（2021 年 12 月終止支援，官方上游已無修補程式）。
www. ohpama .com（Oh! 爸媽）：回報 PHP/7.3.18（2021 年 12 月終止支援，官方上游已無修補程式）。
www. speakout .hk（港人講地）：回報 PHP/7.3.33（2021 年 12 月終止支援，官方上游已無修補程式）。
www. kmb .hk（九巴）：透過 Server 標頭回報 PHP/7.4.28（2022 年 11 月終止支援，PHP 官方雖有釋出原始碼 Backport，但需自行編譯）。
www. hkmu .edu .hk（香港都會大學）：回報 PHP/8.0.30（2023 年 11 月終止支援，PHP 官方提供原始碼 Backport）。
www. 28hse .com：回報 PHP/8.3.33（屬於現行支援版本，官方建議升級至 8.3.36）。
www. squarefoot .com .hk：回報 PHP/8.3.33（屬於現行支援版本，官方建議升級至 8.3.36）。
觀測報告強調，本次檢測純屬「被動觀測」，並非滲透測試、漏洞驗證或受委託調查，觀測數據為 22026-10-22 12:06 HKT 即時紀錄，部分網站不公開版本不等於安全，只是外部無法單憑標頭斷定風險。
目前，PHP 官方團隊正式發布版本更新，修正兩項嚴重等級的遠端執行程式碼漏洞，編號分別為 CVE-2026-109618 與 CVE-2026-109619，建議立即更新至安全修復版本 PHP 8.5.12、8.4.27、8.3.36、8.2.35。
但值得注意的是，重大安全修補程式只會提供給 PHP 8.2 或更高版本，因此目前仍在運行 PHP 8.1、7.x 甚至 5.x 等舊版本的伺服器系統，在此次安全危機中將無法取得來自官方的更新支援，暴露於潛在的網絡安全威脅之下。
由於 PHP 的版本演進是採用漸進式棄用（Deprecation）與「硬過渡（Hard Transition / Breaking Change）」的混合模式，因此很多舊版本 PHP 程式需要將已棄用的語法替換為現代語法，否則無法正常運作。
資料來源:
