你的网站以 PHP 运行。两个严重漏洞，令任何人都可以在上面 执行程式码。
所有 WordPress、Drupal、Joomla 及自家开发的 PHP 网站均受影响，而登入页面无法阻挡。VICOSYS 香港团队在一个工作天内检查你的风险，然后为网站修补、升级或重建，令问题不再重现。
你的网站受影响吗？对照你的 PHP 版本。
不知道自己的版本？大部分网站负责人都不知道。这是我们第一件检查的事，并会以书面告诉你。
PHP 8.2、8.3、8.4 或 8.5
已有修补程式：8.2.35、8.3.36、8.4.27 或 8.5.12。更新、重新启动所有 PHP 程序，再以扫描确认。
PHP 7.4、8.0 或 8.1
PHP 官方没有发布修补。部分寄存商及 Linux 供应商提供回溯修补，但很多没有。升级至 8.3 或 8.4 才是可靠的解决方法。
PHP 7.3 或更旧
没有任何修补。唯一方法是升级 PHP，而大部分这么旧的网站，CMS、主题及外挂都需要一并升级。
为何保安外挂、防火墙规则及登入页面都挡不住
它在你的网站运行之前已经执行
PHP 在 WordPress、Drupal 或你的程式码载入之前，已处理了恶意请求。登入、权限及保安外挂根本看不到它。
改设定无法堵塞
PHP 官方公告明确指出，没有任何设定更改可以完全缓解这些漏洞。只有已修补的 PHP 版本可以。
所有架构都在范围内
Apache mod_php、PHP-FPM、php-cgi、LiteSpeed 及 FrankenPHP 全部受影响。共享寄存、VPS 及独立伺服器一样。
攻击者已经在用
保安研究人员在修补程式发布当天已录得攻击尝试。美国及加拿大的政府网络保安机构已表明，未能更新的机构应将 PHP 网站下线，直至完成更新。
修补、升级或重建。我们告诉你哪一种，并列明费用。
修补
适合已使用 PHP 8.2 或以上，而寄存环境容许我们控制 PHP 版本的网站。先在测试环境套用修补版本，走一遍网站的关键流程，再推上正式环境，重新启动所有程序，最后以保安扫描报告确认。
升级
适合跳升至 PHP 8.3 或 8.4 会令旧主题或外挂失效的网站。审视 CMS、主题及外挂与 PHP 8 的相容性，修复或更换会失效的部分。在测试环境同时升级 PHP 及 CMS，测试后再转移正式环境。完成后提供保安扫描报告，送到你的邮箱。
重建
适合没有修补程式的网站，或任何升级报价超过新建网站一半费用的网站。以最新版 WordPress、Drupal 或 Next.js 建立新网站，寄存于我们的香港伺服器，并在维护计划下包含 PHP 修补、监察及备份。你的内容及 Google 排名会透过转址完整保留。
由「我们受影响吗？」到 已修复并扫描。
不肯定自己属于哪一种？免费检查正是为此而设。我们会回复你所属的类别、建议的方案及固定报价。
把网址及寄存商名称（如知道）给我们。一个工作天内书面回复。
我们把网站复制到测试环境，先在那里套用修补。如果更新弄坏了结帐或查询表格，你不会看到。
修补、升级或重建，事先以固定价格协定。在你选择的时段更新正式环境，并先做经测试的备份。
在正式网站进行保安扫描，扫描报告送到你的邮箱，并完成大部分自行修补都会忘记的 PHP 程序重启。
香港公营机构信赖处理保安发现项目的团队
2007 年起，立足香港
由 PHP 5 至今的每个主要版本，我们都为自己建立及接手的网站完成过升级。
保安修复是我们的日常工作
曾为香港电台、西九文化区、香港科技园及政府招聘平台修复并覆检 SRAA 及保安扫描的发现项目。
自家伺服器
我们自行营运的香港数据中心，PHP 版本由我们掌控，无需等待上游工单。
先测试，后上线
每次更新先在你网站的复本上测试。
书面服务协议
按严重程度订明回应时间，写在合约内。
深受信赖
下一次 PHP 保安公告，应该只是例行公事
查看完整维护计划PHP 每年发布数次保安更新。在 VICOSYS 维护计划下，修补有固定时间表，先在测试环境验证，在你看到新闻之前已经完成。监察由真人处理警报，备份会以实际还原测试，你每季亦会收到速度、SEO 及下一步改善建议的检讨。
Essential
修补、监察、备份、下一个工作天回应。适合需要保持安全及正常运作的形象网站。
Business
Essential 的全部内容，另加每月修改时数、即日回应及每季优化检讨。
Enterprise
优先服务协议连紧急回应、专属时数、测试环境及指定工程师。
常见问题
我们用 WordPress 并已安装保安外挂，仍然受影响吗？+
是。漏洞在 WordPress 底下的 PHP 本身。请求在 WordPress 或任何外挂载入之前已被处理，所以应用层面的任何东西都无法阻挡。解决方法是已修补的 PHP 版本。
寄存公司说已经修补了，足够吗？+
对于 PHP 8.2 或以上的网站，通常足够。请向他们确认两件事：你的网站现时运行哪个确切 PHP 版本，以及 PHP 程序有否重新启动。如果你的网站在 8.1 或更旧版本，寄存商的修补最多只是供应商的回溯修补，我们会先以扫描确认，才建议依赖它。
可以只升级 PHP，不动网站吗？+
现代网站通常可以。为 PHP 7 而建的网站，跳升至 8.3 或 8.4 时，主题或一两个外挂通常会失效。所以我们先在测试环境测试，并在正式环境有任何改动之前，先就相容性修复报价。
需要多久？+
风险检查一个工作天内回复。修补通常在同一星期内完成。升级视乎测试环境上有多少东西失效，我们会连同报价一并给你时间表。重建是一个正常的网站项目，进行期间我们可以先为旧网站修补或隔离。
我们的开发人员已离职，而且没有管理员权限，还可以帮忙吗？+
可以。取回寄存、DNS 及 CMS 的存取权，是我们接手网站的常规第一步。由你手上有的东西开始：通常一个域名加寄存商的发票已经足够。
检查涉及甚么？需要给你们密码吗？+
开始时不需要。我们先从公开网站及寄存商名称入手。如需寄存或 CMS 权限确认版本，我们会要求一个临时帐户，并告诉你何时可以移除。
有没有报告可以交给核数师或总公司？+
有。修复后你会收到保安扫描报告，如有需要，亦可提供一份简短的书面摘要，列明修复前后的版本、更改了甚么及时间。
有人叫我们把网站下线，应该吗？+
如果你运行 PHP 8.1 或更旧版本而今天无法更新，CISA 的建议是把网站下线，或放在网站应用程式防火墙之后，直至修复。先致电我们。很多情况下我们可以在当天内修补或隔离网站，比停机数天好得多。
今天就知道你的网站 是否有风险。
把你的网址给我们。一个工作天内，你会收到 PHP 版本、你在对照表中所属的类别，以及我们建议方案的固定报价。