WordPress 多久要更新一次？不追最新不等於不更新，我的三層更新原則
一句話回答：不用追最新，但不能不更新。 我做網站維護的原則是「沒有問題就不要動、沒有壞就不要修」，因為跟到最新版，其他外掛很容易衝突。但這句話常被誤解成「都不用更新」，結果三年沒動的網站，出事那次比每次更新加起來都貴。所以我把更新分三層：安全性更新自動裝、外掛與佈景主題每月集中處理一次、客製程式多的網站評估後再動。
我是 Rick，做了 18 年設計，現在經營 ZOXE 零式設計，手上維護的 WordPress 網站每個月都要跑一輪更新。這篇把三層怎麼做、不更新會發生什麼事、像 2026 年 10 月 PHP 漏洞那種緊急狀況怎麼處理，一次講清楚。
先搞清楚：誰負責哪一層
「更新」聽起來是一件事，其實分三層，負責的人不一樣：
| 層 | 是什麼 | 誰負責 |
|---|---|---|
| 主機層：PHP、作業系統 | 網站跑在上面的引擎 | 主機商。代管主機會自己補；自己租的主機要自己或維護方動手 |
| WordPress 核心 | 系統本體 | 你，或你的維護方 |
| 外掛與佈景主題 | 功能零件 | 你，或你的維護方 |
拿 2026 年 10 月的例子講。10 月 21 日 PHP 官方緊急修補兩個漏洞（編號 CVE-2026-109618 與 109619），攻擊者不用登入就能在主機上執行程式，影響 PHP 5 以上所有版本，等於每一個 WordPress 站都中。這是主機層的事，跟 WordPress 更新不一樣：我維護的站，主機商在那幾天內全部補完，我要做的是逐站確認 PHP 版本已經在修補版以上（8.5.12、8.4.27、8.3.36 或 8.2.35）。
這種就是「沒壞也要修」的例外。平常「沒壞不修」講的是 WordPress 那兩層，主機層的資安漏洞一出來，一定要處理。
你真正要知道的只有三件事：我的站 PHP 幾版、誰負責升、備份在哪。 查 PHP 版本的方法：WordPress 後台「工具 → 網站狀態 → 資訊 → 伺服器」。
WordPress 更新的三層原則
接下來講 WordPress 這兩層。我把它分成三種處理方式：
第一層：自動處理
適用：安全性更新、小版本更新（例如 6.8.1 → 6.8.2）。
這類更新只補漏洞、修 bug，不改功能，風險極低，但不裝的風險極高。WordPress 核心的自動更新開著就好，不用每次自己按。
第二層：定期處理，每月集中一次
適用：外掛與佈景主題的版本更新、WordPress 大版本（例如 6.8 → 6.9）。
這一層是「不追最新」的核心。做法：
- 先做完整備份。 不是只備份資料庫，是整站。而且要確認備份檔真的拿得到。
- 新版本出來不要馬上更新。 等 1 到 2 週，看看有沒有災情。外掛的評論區和支援論壇，有問題一週內一定有人罵。
- 在測試站先更新並驗證。 確認沒問題，才更新到正式網站。沒有測試站的，挑離峰時間做，壞了影響最小。
- 更新完檢查。 首頁、主要內頁、手機版、表單試送一次、有電商的跑一次結帳。
每個月固定一天，所有站一起跑，一個站大約 30 到 60 分鐘。
第三層：評估後處理
適用：網站本身含有大量客製程式的站。
這種網站直接更新很容易出問題，因為客製程式是針對某個版本寫的。要先評估更新的風險，必要的話先更換替代外掛、調整客製程式，再更新。這需要專業判斷，不建議自己按。
但要注意一件事：暫緩只是過渡，長期不更新才是最大的風險。 第三層不是「不用更新」的藉口，是「先想清楚再更新」。
用一句話記三層：不改功能的自動，會改功能的定期，客製多的先評估。
不更新的話，會發生什麼事
短期內網站通常一切正常，這就是它危險的地方。風險是慢慢累積的：
- 資安風險。 漏洞公開之後，駭客會用自動化工具大量掃描還沒修補的網站。被打中的站可能被塞入垃圾連結、資料外洩，甚至被 Google 標示為危險網站，使用者一點進去就跳紅色警告。對正常營運影響很大。
- 慢慢壞。 主機 PHP 升級了，舊外掛不相容，某個功能某天就不動了：表單寄不出去、輪播不轉、結帳沒反應。
- 加不了功能。 想加一個預約功能，裝上去才發現要先更新十個東西，每一個都可能衝突。到這一步很多人就被逼著整站改版。
- 最後一次更新全炸。 累積三年的更新一次按下去，哪個壞了都查不出來。這才是「更新會壞」的真相：不是更新壞，是太久沒更新。
真正會壞的，通常不是更新
做維護這幾年，更新後壞掉的狀況反而少，因為有前面那套流程。真正會壞的是「有人在網站裡動了不該動的東西」。
我遇過客戶自己用 AI 寫了程式，直接跑在網站裡，網站就壞了。還好我們有定期備份，把網站資料拉回來就好。備份間隔中的幾篇文章不見了，但客戶都有存檔，很快補回來，損失降到最小。
這個案例講的是兩件事：備份是所有更新動作的前提，不管是你更新、還是別人動了什麼，有備份就是還原，沒備份就是重做。另一件是，備份的頻率決定你會損失多少，每月一次就是最多損失一個月的新內容，看你的網站多常更新內容來決定。
自己更新，還是交給維護？
自己做可以，前提是你會備份、會還原、出事時知道去哪裡查。每個月一小時，一年十二小時，再加上壞掉那次的時間。
交給維護的話，年度維護的核心工作就是這三層：第一層確認自動更新有在跑、第二層每月集中處理、第三層幫你評估。ZOXE 的年度維護 NT$14,000 起（未稅），包含完整備份、WordPress 與外掛更新、衝突處理。你付的不是更新本身，是「更新壞了有人一小時內還原」這件事。
常見問題
更新完網站白畫面怎麼辦？
先不要慌，也不要再按任何更新。白畫面九成是外掛或 PHP 衝突。有備份就還原；沒有的話透過主機的檔案管理，把最後更新的那個外掛資料夾改名，網站通常就回來了。然後再查是哪一個衝突。
外掛顯示「已停止更新」還能用嗎？
短期可以，長期不行。兩年以上沒更新的外掛，漏洞沒人補、新版 WordPress 遲早不相容。這就是第三層的狀況：趁還能用的時候找替代品換掉，比壞掉那天才換輕鬆。
PHP 版本要自己升嗎？
代管主機不用，主機商會處理，像 2026 年 10 月那次漏洞就是主機商補的。但你要知道有這件事，升級前要確認所有外掛都支援新版。有維護的話這是維護方要盯的；自己管主機的話，後台通常可以先切到新版本試，不行再切回來。
不追最新，但不能不更新
一個三年沒更新的網站，不是「很穩定」，是還沒被找到。如果你的後台那顆紅色數字已經超過 20，或是你根本不敢進後台按更新，把網址傳給我，我看一下 WordPress 版本和外掛狀況，直接告訴你現在該走哪一層、先處理哪幾個。看網址不收費。
參考資料與延伸閱讀
文中提到的資料：
- WordPress 官方版本紀錄：看目前最新版與安全性更新
- PHP 版本支援時程：看你的 PHP 版本還撐多久
- CISA 對 2026 年 10 月 PHP 漏洞的公告
相關文章：
