全球70%网站都危险了？小商户PHP版本自查打补丁怎么报价

2026 年 10 月，微博挂着话题 #全球70%网站都危险了#。点进去只有一句话，没前因后果，也没说谁讲的。但它让一批老板发慌，也让另一批人在群里问：这活能不能接。

说的是 PHP。大量中小企业官网，餐饮展示页、装修案例站、小工厂询价表单、培训机构报名页，背后十有八九是它。共同点是建站公司交付完就走人，三五年没人碰，版本停在 7.4 甚至 5.6 的不少。

热搜的落点不在百分比准不准，而在这些没人管的网站上：会查、会升、会善后的人不多，愿意掏钱的小老板不少。

分清传闻里的三层信息

第一层能确证：PHP 有一批老版本早已停止安全维护。7.4 在 2022 年底结束安全支持，5.6 更早。跑在这些版本上的站，出了新漏洞官方不再发补丁，这是公开版本支持表上写着的，跟热搜无关。

第二层是传播放大。「70%」没有公开统计口径，是全部网站、某个样本库，还是扫描器随手跑的结果，页面一字未交代，转述几手就无法核对。

第三层是你的处境：手上或客户那个站跑哪个版本，只能登进去看。这一层决定有没有活可接，也决定这活值多少钱。

找客户从身边的旧网站开始

需求方明确：有独立网站、但没有技术人员的小商户。判断标准很土：底部还挂着「技术支持：XX 网络」或一串 QQ 号，版权年份停在两年前，基本属于无人维护。

不用扫全网。本地行业站最集中：装修公司、律所、口腔诊所、驾校、小型加工厂，习惯做个官网撑门面，做完就不管。另一类是代账公司和建站工作室，手上攥着几十个客户站，自己不会修，愿意往外转。

跟建站工作室谈最省力：客户出问题第一个找他们。你按站计价、当晚出结果，他们比终端客户更容易点头，要的是把麻烦转出去，不是省工钱。

查一遍版本再开口谈钱

报价前必须先把体检做掉，不然报价都是猜的。要动的就这几样：

• 看网站根目录有没有遗留 phpinfo 页面，没有就问主机商要当前 PHP 版本号和运行方式

• 整站文件和一个完整数据库导出，压缩包存两份，本地和云盘各一份，文件名带日期和版本号

• 列出所有插件、主题、扩展版本，标出哪些两年以上没更新，这些升级后最先崩

• 搜代码里有没有 mysql_ 开头的函数、ereg 这类老写法，新版本会直接报错

• 问清站点有没有接支付回调、短信接口、第三方登录，这三样升级后最容易断

• 确认能不能停机、能停多久、几点停、由谁通知到老板

六条做完约两三个小时，全程不改一行代码。但它决定你报的是「帮你看看」还是「我包你升完能跑」。前者出事扯皮，后者出事你兜着，价钱当然不同。

报价拆成排查费和动手费

这行没有统一价目表。同一个站，有人报两百，有人报两千，差在三个变量上。搞不清这三个变量，报价要么把人吓跑，要么把自己坑进去。

变量一是版本跨度。同大版本内小升级通常只动内核，插件不用碰，风险低，可往低报。跨大版本完全不同：5.6 直接跳 8.x，函数废弃、扩展重写、老主题基本全废，工作量翻几倍，价钱也跟着翻。

变量二是要不要改代码。只升内核是运维活，改代码是开发活，不在一个量级。报价必须说清含不含改代码，否则升完白屏，客户一句「你不是说包好吗」，你就得白干两天。

变量三是时间窗口。白天不能停站的只能夜里做，要盯到凌晨，还得备回滚方案。这条加价最容易被接受，因为老板自己算得清：白天停两小时，损失比工钱大。

更稳的做法是分两段报：先报排查费，出一张清单，写明哪些必须动、哪些可以先放；客户认可后再报动手费。第一笔钱小，容易点头；第二笔有清单作依据，不易被砍价。

盯住升级当晚的三个坎

备份是唯一退路，这一步最不能省，也只在这步不该跟客户讲价。翻车基本集中在这三处。

一是备份不全。只备文件没备数据库，或导出时字符集选错，回滚才发现数据乱码。踩过的人最多，也最没法跟客户解释。

二是插件崩。老插件调用的函数在新版本被移除，页面直接 500。升级前逐个禁用再启用，找出坏的那个单独处理，别一次全开上去碰运气。

三是支付和回调断。最隐蔽：站能打开、页面正常，客户三天后才发现订单没进来。升完必须走完整下单流程，用一笔小额测试单跑通，别只看首页能不能打开。

善后也别省，留一份「当前版本、改动清单、回滚方法」的说明，哪怕一页纸。客户不懂技术，判断你有没有干好的唯一标准就是站还能不能打开、出问题能不能找回来。

认一遍常见的假活

一是「扫描报告」：一封邮件或一条微信，称网站有高危漏洞，附 PDF，末尾是收款码。这类不能信，多半是公开扫描器批量跑出来的，PDF 描述是抄的，跟你这个站对不对得上他根本不看。

二是「一键修复工具」，收费激活，号称自动打补丁。更不能装。来源不明脚本放进服务器，等于把钥匙交给陌生人。真正的升级只有一条路：登进服务器，看清版本，按官方文档一步步来。

判断真假有个笨办法：让对方说出你网站的 PHP 版本号、用的哪个建站程序、数据库多大。三个问题答不上来就是群发的。真干活的人张口就能报，因为他得先看才能报价。

常见问题

全球70%网站都危险了到底是怎么回事？

这是一条没有下文的传闻，能确证的只有一部分：PHP 老版本确实早已停止安全维护，7.4 在 2022 年底结束支持，5.6 更早，跑在这些版本上的站出了新漏洞不会有官方补丁。「70%」没有公开统计口径。具体到你的站，版本以主机后台显示为准。

网站有什么危险，普通人怎么看出来？

最直接的危险是版本太老，官方不再发补丁。登录主机控制面板看 PHP 版本号，低于 8.0 的就该留意；再看后台有没有插件提示已停止更新。两样都中，说明这个站很久没人管了。支持状态以 PHP 官方支持表为准。

为什么有些危险网站没有清理？

多数不是不想清，是不知道找谁，也不敢动。小商户网站通常由建站公司一次性交付，没有维护合同，老板连后台密码都未必留着；也有人怕升级后页面崩掉，宁可先放着。但拖得越久、跨的版本越多，一次性升级的代价越大。

帮小商户查版本打补丁，这活一般怎么报价？

没有统一价，按版本跨度、改不改代码、能不能白天停机三个变量拆。同版本小升级和跨大版本重写，工量差好几倍；含不含改代码又差一档；只能夜里做的还要加。较稳的是拆两段报：先收排查费出清单，认可后再报动手费。实际价格按当地行情和站点规模谈，别照搬网上价目表。

我给本地几个站做过这类升级，最怕的不是技术难，是客户事后那句「我看着没什么问题啊」。

参考来源

• 微博话题：全球70%网站都危险了