前面这几篇都在回答"新站选什么"。但真正戳中大多数人的，不是那句话，而是这句——"我手里已经有一个站，系统快不行了，怎么办"。
这篇只回答后半截：一旦决定搬，跑在织梦、帝国、PHPCMS 上的 PHP 老站，具体往哪搬。还拿不准该不该搬的，看一眼漏洞有没有对应的修复版本就够了——没有就不用犹豫。
先看这几家的现状。
织梦 2021 年 9 月起对商用站收 5800 元/域名的授权费，官网下载页的最新版本却仍停在 V5.7.118（更新日期 2025-07-30）。
2026 年上半年公开的两条高危漏洞（CVE-2026-30643、CVE-2026-30694）打的正是这个版本，两条都是 CVSS 9.8：前者出在模块上传，后者出在后台文件管理的 array_filter 处。公开记录里写的利用条件也一样——无需认证、无需用户交互，用不着先拿到后台权限就能打进来。
帝国还在维护，但 4200 元/站的授权加 6200 元起步的技术支持（本系列正篇（四）讲博客和电商那一篇算过，只管一年），每续一年都是实打实的成本。PHPCMS 只剩一具空壳。
授权费是商业问题，可以不交；补不上的洞才是安全问题——这个交钱也解决不了。
一、往哪搬：对号入座，先别挑贵的
去向别拍脑袋，用正篇结论对号入座。
1. 织梦站、模板是花钱定制的 → DedeBIZ
严格说这不是搬家，是原地换引擎。DedeBIZ 是织梦的社区维护分支，源码目录下带 GPL v2 许可证文件，模板沿用织梦的标签体系，老织梦用户几乎不用重新学；官方对授权的态度是"鼓励但不强制"——对比织梦 5800 元/域名。模板重写代价越大的站，这一步越省事。
不过推荐它之前，有个现状得说在前面：这个分支的 GitHub 仓库最后一次代码推送停在 2025 年 3 月，仓库说明里写明 6.x 这个 LTS 版本的支持期已于 2025 年 10 月到期。所以它的合适用法是当第一步——先用最低代价把站和数据从织梦挪到一个 GPL 许可、标签通用的地方，稳住之后再决定要不要继续往下走；把它当终局不合适，真要长期用，动手前自己去官网和仓库看一眼现在还在不在动。
2. 国产企业站、内容站 → 迅睿或 PbootCMS
本系列正篇（二）讲国产企业级那一篇里，能放心商用的就这两家：迅睿 MIT、PbootCMS 免费可商用（去版权在官网领免费授权码就行）。后台习惯和织梦接近，国内模板和教程好找，从国产系统过来最顺。
3. 以内容为生的站、后面想加功能 → WordPress
本系列番外四讲 WordPress 生态那一篇说过：所有 CMS 网站里 58.7% 跑在 WordPress 上。人多带来的好处在迁移这块最明显——第三方转换工具、专门帮人搬站的服务，围着它的最多；后面要加功能，插件也不用愁。代价是模板体系完全不同、URL 要重新配置，等于搬家之外还要装修。
4. 电商老站 → 按电商那一套单独重新评估
电商的订单、会员、商品 SKU 比文章难搬得多，别和内容站用同一套预期。轻量的看 OpenCart 那一档，真上规模再看 Magento 那一档，单独算账。
5. 几年不更新、只想留着的站 → 出口转静态
这条路的前提很清楚：内容不再变、也不需要后台和登录。满足这两条，静态才够用。PHP 侧动手时还要注意一条：静态化插件（Simply Static 这类）做的是"快照"，它把当前页面抓下来变成 HTML，本身不是一个系统。所以除了"数据库没了"这回事，模板里的动态功能（搜索、评论、会员）也得一起结算：要么提前换成第三方服务，要么承认它没有——决定之前先确认你真的不需要。
外加一句反向提醒：别往另一个查不到发版记录的系统搬。PHPCMS 官方自 V9 之后没再发过正式大版本，第三方分支也停在 2021 年 10 月，别拿它当目的地。搬过去只是把问题平移，三年后再搬一次，白折腾。
二、搬的时候，PHP 老站有几个特有的坎
不同系统之间没有"官方一键迁移"，落到织梦、帝国这类老系统上，还有三个绕不过去的坎：
内容别想原库直塞。 织梦、帝国都是 MySQL 系，但表结构和目标系统对不上，"直接把数据库搬过去"行不通，都得走转换。而且织梦和帝国不在 WordPress 官方导入器的清单里——那个导入器面向的是 Blogger、Tumblr、Movable Type 这类海外博客平台。
所以织梦迁 WordPress 要么找转换插件，要么找专门做"织梦转 WordPress"的第三方工具和服务。
附件整目录搬。 织梦的 /uploads 这类上传目录，原样搬到新站同路径，图片链接能活一大半；剩下的做一次全库替换——把内容里的旧域名换成新域名，一次搞定。
链接做 301，再通知搜索引擎。 织梦的栏目页、文章页 URL 结构和 WordPress 的永久链接完全两回事。老地址在服务器上配 301 指到新地址，然后在百度搜索资源平台提交死链、说明站点改版。这步最容易被省，也最不能省——省了就是眼睁睁看几年的收录和权重清零。
三、多少钱、多久：说点实在的
文章几百篇的内容站，内容加附件一两天能搬完；真正的大头是模板重写、URL 映射、功能重建，按天到按周算。请人干的话，市面上"织梦转 WordPress""帝国转 WordPress"的服务很多，按数据量和模板工作量报价。
这笔账里唯一该提前防的是半迁返工：只搬了文章，回头发现图片链接全断、搜索收录清零，只好再搬一次——市面上的报价通常不含返工那一次。
四、什么时候动手
其实就看两件事：洞还在补吗，钱还要掏到什么时候。织梦这边的答案是官网停在 2025-07-30、漏洞打的正是这个版本；帝国那边的答案是只要还在用，授权和技术支持每年都得再交一次。
一句话：这批老站搬家的最佳时机，是发现漏洞没人补的那天，其次是现在。但别恐慌性迁移——上面五个去向先挑一个对得上号的，再定日子开工；为一条还没落到你头上的公告匆忙动手，多半要重演第三节那笔返工账。
本篇数据来源：
织梦官网下载页最新版本 V5.7.118（更新日期 2025-07-30）：https://www.dedecms.com/download/ ；
织梦 5800 元/域名（2021 年 9 月起执行）、帝国 4200 元/站与技术支持 6200 元起（官方价格页标注政策自 2013-04-16 执行、技术支持期限 1 年）：见本系列正篇（一）与正篇（四），来源 URL 同两篇文末（帝国价格页 http://www.phome.net/service/price/ecms.html ，截至 2026-09-28 实查）；
CVE-2026-30643（CVSS 9.8，模块上传 setup 标签注入，2026-04-01 发布）：https://nvd.nist.gov/vuln/detail/CVE-2026-30643 ；
CVE-2026-30694（CVSS 9.8，后台文件管理 array_filter 处回调绕过黑名单，影响 5.7.118 及更早，2026-03-19 发布）：https://nvd.nist.gov/vuln/detail/CVE-2026-30694 ；
CVE-2026-30643 的利用条件（无需认证、无需用户交互）：中文条目见 IPBUF https://www.ipbuf.com/static/cve/2026/CVE-2026-30643_zh.html ，阿里云漏洞库同步收录 https://avd.aliyun.com/detail?id=AVD-2026-30643 ；
CVE-2026-30694 的利用条件（无需认证、无需用户交互）：中文条目见 IPBUF https://www.ipbuf.com/static/cve/2026/CVE-2026-30694_zh.html ，阿里云漏洞库同步收录 https://avd.aliyun.com/detail?id=AVD-2026-30694 ；
织梦版本停在 V5.7.118、PHPCMS 官方自 V9 后再无正式大版本、迅睿与 PbootCMS 的授权口径：见本系列正篇（二）与正篇（四）（来源 URL 同该两篇文末）；
WordPress 官方导入器支持范围（清单含 Drupal / Joomla / Blogger / Tumblr / Movable Type 等二十余项，不含织梦、帝国；页面最后更新 2025-07-07）：https://developer.wordpress.org/advanced-administration/wordpress/import/ ；
WordPress 占已知 CMS 站 58.7%、占全网 40.2%（W3Techs 2026-09-28 实查）：https://w3techs.com/technologies/overview/content_management ；
迅睿 CMS「基于 MIT 协议发布、免费且不限制商用」：官方仓库 https://github.com/dayrui/xunruicms ；
DedeBIZ 源码目录下的 GPL v2 许可与"鼓励但不强制"的授权表述、仓库最后一次代码推送 2025-03-21、自述 6.x LTS 支持期至 2025 年 10 月：https://github.com/DedeBIZ/DedeV6 （2026-09-28 实查）；