受 PHP 漏洞啟發的 WordPress 替代品

這次的問題出在PHP，它是WordPress的基礎。

WordPress 是用來發佈和管理文章的軟體。支援此操作的機制之一是 PHP，它運行在伺服器上。

2026 年 10 月，PHP 公佈了以下嚴重漏洞。漏洞是軟體中可被攻擊利用的弱點。

• CVE-2026-109618：當處理因記憶體不足而中斷時，後處理會處理不完整的內部資料。
• CVE-2026-109619：存在指向已使用記憶體的內部資訊仍然存在且後續請求引用舊資訊的問題。

某些情況可能允許外部各方在您的伺服器上執行任意程式碼。這是與 WordPress 本身不同的問題，因此除了更新 WordPress 和外掛之外，您還需要檢查 PHP 方面的修復。

首次提供此修復的版本是 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。請檢查您的託管公司或作業系統提供者的說明以取得實際支援。除了版本號碼之外，您還需要檢查提供者是否套用了任何修復。

參考：IPA：本次 PHP 漏洞與對策 ／ PHP 官方：記憶體不足（OOM）處理問題 ／ PHP 官方：舊的內部狀態殘留問題

在尋找替代方案之前，先整理一下您的文章寫作風格和所需功能

我想從我通常的更新方式開始進行比較。您想透過智慧型手機寫入還是可以在電腦上編輯文件？您需要評論、會員註冊和銷售功能嗎？您的選擇將會隨之改變。

選項 1：繼續使用 WordPress 並檢查維護

如果您發現目前的編輯畫面和功能使用起來很舒服，您可以選擇繼續。插件是添加功能的組件。決定由誰負責更新主機、外掛程式、主題和 PHP，以及從備份還原的過程。

當委託維護公司或託管服務進行維護時，請檢查工作範圍，包括他們是否能夠處理插件問題和復原。

參考：WordPress官方安全指南

選項 2：使用託管 CMS 或網站建立服務

CMS 是一個允許您從瀏覽器建立和管理文章的系統。如果是託管服務，您可以將伺服器等維護工作留給運營商。責任範圍因服務而異。

除了編輯畫面、日文易用性、必要功能和價格之外，我們還將檢查您是否可以匯出文章和圖像並轉移到其他服務。我們不會在這裡對特定服務進行安全性排名。

選項 3：使其成為靜態站點

靜態網站是一種分發預製頁面的方法。主要發布文字和圖像的網站是候選者。另一方面，必須單獨準備發布螢幕。

有多種方法可以直接編輯稱為 HTML 的頁面文件，使用從手稿生成頁面的工具，並將它們與 CMS 結合起來進行編輯。您對更新的便利性補償得越多，您必須維護的機制就越多。

使用 Cloudflare 的 WAF 提前減少攻擊

Cloudflare 有一個 WAF，可以在網站之前檢查可疑通訊。它的作用類似於接待台的安全性，可以阻止類似於已知攻擊的通信，並按來源或發送次數限制存取。

免費版有針對某些威脅的規則，專業版及更高版本有更廣泛的託管規則。託管規則是由 Cloudflare 制定和更新的判斷規則。 DDoS 對策是針對因流量過大而導致網站無法使用的攻擊的對策。

該PHP漏洞的防護規則也已公開。但是，根據設定存在應用條件，這是針對已知攻擊的對策。不能斷定如果使用Cloudflare就不需要更新PHP。

參考：WAF功能比較 / WAF針對該PHP漏洞的對策及情況

如果原始伺服器位於單獨位置，還需要採取措施防止繞過WAF直接存取該伺服器。即使對於靜態站點，也要考慮公共帳戶劫持、外部服務問題以及未經請求的表單提交等問題。

只需進行查詢並讓 Cloudflare 處理即可。

這並不意味著您不能在靜態網站上進行查詢。頁面保持靜態，您可以僅對接受查詢的部分新增處理。

Workers 是一項在 Cloudflare 上執行表單接收等小程式的服務。 Turnstile是一種減少機器人發送的機制，電子郵件服務負責發送通知電子郵件。

如果您只想通知經過驗證的管理員地址，則發送電子郵件是免費的。若要自動回覆詢問者，請使用電子郵件發送和工人付費，可以將其發送給任何收件人。在資訊確認時，電子郵件發送處於測試階段。

電子郵件路由是一項將發送至您自己的網域的電子郵件轉發到您現有收件匣的服務。它本身不提供用於閱讀電子郵件的收件匣。此外，透過表單通知管理員和將電子郵件轉發到您自己的網域是單獨的功能。

為了避免遺失查詢，我們也設計了傳輸失敗時的指導、重新傳輸的處理和確認接收。同樣重要的是，不要在表單中要求太多機密信息，並決定將其保存在哪裡、誰可以查看它以及保存多長時間。如果您有現有的電子郵件服務，請確保您不會意外變更確定收件者的 DNS 設定。

Turnstile 需要在您的瀏覽器中使用 JavaScript。我們將為您提供替代聯絡方式，以便您即使請求無效或傳輸失敗也可以聯絡我們。網站文字和目錄可以與表單分離，並配置為以常規 HTML 形式可讀。

参考：如何验证 Turnstile / 电子邮件服务概述 / 配置電子郵件轉發

一般用途/企業用途的費用是多少？

以下是一個設定範例，假設有一個具有一個網域和一個小型查詢表單的靜態網站。不包括CMS發布畫面、會員/付款功能、附件儲存、監控/重發等附加服務。如果您想保留 WordPress，則需要單獨支付伺服器費用。

截至 2026 年 10 月 25 日，金額以美元為單位。不包括稅金、匯率、獨特域名的取得和續約、收件匣以及生產和維護的勞動成本。將其視為「最低月費 + 超出所含使用量的金額」。

一般用途：如果您只想通知管理員，請從免費套餐開始。

對於個人部落格、興趣愛好網站等，如果能夠在自己的收件匣中看到查詢，那就太好了。不會自動回复，傳輸結果會顯示在螢幕上。

免費層是否足夠不僅取決於訪問次數，還取決於處理時間和實施。即使發送給管理員的通知電子郵件是免費的，但接收程式的執行還有其他限制。

企業用途：新增自動回覆和付費WAF

這是向詢問者返回接收電子郵件並使用更廣泛的 WAF 規則的範例。這並不意味著您僅僅因為您是一家公司就必然需要此計劃。根據站點的作用和中斷的影響進行選擇。

Workers Paid 包括每月 3,000 封電子郵件的電子郵件發送津貼，基本價格最低為 5 美元/月。每 1,000 封電子郵件的超額費用為 0.35 美元。發送給已確認管理員的郵件不包含在此框架中。由於重新發送和其他目的也使用發送配額，因此不能保證我們能夠收到 3,000 個查詢。

包括年費和業務的比較

Pro 的年付款為 240 美元/年，Business 的年付款為 2,400 美元/年。工人每月至少 5 美元，超額使用將另行收費。這不是您每月支付表中所示每月等值金額的合約。

企業有網站計劃的 SLA（有關正常運行時間的合約協議），但這並不能保證整個系統，包括表單處理和電子郵件傳送。如果連續操作很重要，請評估故障偵測、故障復原和 Beta 功能的處理。

靜態文件的請求是免費且無限制的，但對文件數量、容量等有限制。假設WAF設定為目標自己的網域等適用的路由，從其他公共URL存取時必須小心。

• 網站套餐定價
• 員工定價
• 電子郵件發送/轉發費用
• 旋轉門定價
• 靜態配送費用與限制
• 頁面靜態交付/函數定價
• 工作人員使用限制
• 頁面使用限制

遷移前先檢查是否會出現問題，再考慮價格。

如果遷移後每次更新都成為負擔，則很難繼續使用網站。我們認為先嘗試發布和發表少量文章是個好主意。

• 更新：負責人可以寫文章、新增圖片並發布嗎？
• 現有頁面是否可以保留先前的網址？如果我想更改它，可以從舊 URL 引導/重定向嗎？
• 附加功能：如何繼承評論、搜尋、分類、RSS、表單等。
• 恢復：如果您發布了錯誤的內容，可以恢復到之前的狀態嗎？
• 匯出：文章和圖像將來可以備份並移動到其他地方嗎？
• 管理：帳號可以由多人管理嗎？我可以設定多重身份驗證嗎？

還有一種方法可以繼續使用 WordPress 並建立維護系統。您可以將其留給託管服務，也可以將發布端設為靜態。我想透過檢查必要的功能以及持續更新和維護的範圍來選擇適合我的網站的配置。