导语：AI 让"找漏洞"变成近乎免费的劳动，但"修漏洞"仍要用人和钱——Drupal 交出账本：2026 年 6 月至 10 月的 5 个月里发布 256 条安全公告，超过此前 30 个月合计的 250 条，于是官方把 core 小版本的安全支持期从 12 个月砍到 8 个月（PSA-2026-11-02，发布 2026-11-02）。

一、变了什么：12 个月变 8 个月，2027 年起生效

Drupal 安全团队与 core 发布经理在公开服务公告 PSA-2026-11-02 中宣布：自 2027 年起，Drupal core 的每个小版本（minor）只提供 8 个月的安全覆盖，此前为 12 个月。这是自 2018 年 Drupal 8.6 以来，这个小版本支持节奏的首次实质变更。

具体条款：

官方给出的过渡时间表（日期以 PSA-2026-11-02 为准）：

Drupal 11.5 与 12.0 计划于 2026 年 12 月 7 日当周发布，11.6 与 12.1 计划 2027 年 6 月。

当前版本状态（查询日期 2026-11-12）：core 最新补丁版 11.4.12（发布 2026-11-06），Drupal CMS 最新为 2.2.9（发布 2026-11-11）。

版本号 / 发布日期 / 影响版本 / 风险等级

• 政策编号：PSA-2026-11-02，发布日期 2026-11-02

• 影响版本：全部 2027 年在支持周期内的 Drupal core 小版本（含 11.3、11.4、11.5、11.6、12.0、12.1）

• 风险等级：政策变更，非漏洞，不适用 Drupal 风险计算器（0-25 分制）

• 关联安全水位（截至 2026-11-11，来源 Drupal Drops 首页统计）：近 30 天 101 条安全公告，其中 30 条为 Critical，3 条命中 Drupal core

二、为什么重要：不是 Drupal 变差了，是维护经济学被打穿

官方公告的措辞罕见地直白：包括 Drupal 在内的所有开源项目，正承受 AI 工具普及带来的安全报告"海啸"，其工作量已超出安全团队"在现有资助水平下"的承受能力。公告同时承认了代价——修复发布可能变慢，而这会给"手持 LLM 的恶意攻击者"更多时间。

数据侧的证据更硬（来源：Drupal Association《256 Advisories in Five Months》，2026-10-29；经 TheDropTimes 2026-11-06 报道核对）：

• 2026 年 6 月至 10 月共 256 条安全公告，超过此前 30 个月合计的 250 条

• 仅 2026 年 10 月就有 106 条，其中 10 月 28 日单日 39 条

• 自 2026 年 6 月 1 日以来的公告报告人共 134 人，而 2025 年全年为 68 人

协会将激增归因于漏洞"发现"环节的成本崩塌，而非 Drupal 攻击面突然扩大；其结论是"找漏洞已经不是慢的那一步"。瓶颈整体后移到报告分类、修复评审、回移与发版——这些环节全部依赖人。

而人的供给并没有同步增长。Drupal 安全团队是志愿者组织，约 30 名志愿者覆盖数千个项目；部分工时由 Alpha-Omega 资助的小规模团队承担，协会称"没有这笔资助，安全团队无法处理这样的量级"。更具警示意义的是发版环节：据第三方技术博客（tanay.co.in，2026-11-05）披露，core 发布经理 xjm 的受资助工时已从 2022 年的每周 40 小时降至 2026 年 5 月起的每周 8 小时——该数字未在官方 PSA 中披露，引用时需以赞助方口径复核。

一句话概括：发现漏洞的边际成本趋零，修复漏洞的边际成本不变。这个剪刀差，最终以"支持期缩水"的形式转嫁给了站长。

三、动作项：三类人现在该做什么

1. 站点运维（自己管站）- 立即在后台 Reports → Status report 确认 core 版本。 - 若在 Drupal 10 或 11.3：2026 年 12 月同时断供，这是本季度唯一的高优先级事项，须在 12 月前完成升级。 - 若在 11.4：截止 2027 年 4 月，可排入明年一季度。 - 之后的节奏必须改成每年两次固定升级窗口（12 月、6 月小版本发布后 2 个月内完成），沿用"一年清一次"的老习惯会直接掉出安全覆盖。

2. 代理商与托管商- 把"每年一次大版本维护"的服务条款改为"每年两次 minor 升级 + 回归测试"，并把窗口写进 SLA。 - 客户若因业务原因无法按期升级，须书面告知其已脱离安全覆盖，否则事故责任会回流到自己身上。

3. 企业与政企站点- composer 依赖锁定策略要能支撑小版本快速升级：先做 composer update 的自动化回归（可视化回归 + 关键表单流程），否则"2 个月重叠期"根本不够走完内部审批。 - 评估托管商的补丁 SLA 是否覆盖新的 8 个月周期——不少旧合同仍按 12 个月设计。

四、结论：8 个月不是"变不安全"，是开源维护的账单到期

先给立场：Drupal 这次的选择是对的，但它同时暴露了一个行业级问题。

对的是取舍逻辑。摆在 Drupal 面前的是三条路：降低修复质量、延迟修复发布、缩短支持窗口。前两条直接把"patch 延迟"变成站点的真实暴露面，第三条只是把维护负担明确转移给使用者。相比之下，8 个月的窗口 + 4 年主版本支持，是所有坏选项里最不坏的那个，并且顺带对齐了 Symfony 的上游发布节奏。

暴露的问题是：AI 把安全研究的成本打了下来，却没有给开源维护者带来对应的收入。 漏洞报告的供给曲线被 AI 抬高一个数量级，而验证、复现、回移、测试、发版这些环节依然是志愿者与赞助商凑工时。最终结果就是全行业同时收紧承诺——今天在 Drupal 身上表现为"12 个月变 8 个月"，明天会在其它 CMS 的对等政策上以别的形式出现。

真正受伤的不是大型企业站（他们有预算和团队），而是把 CMS 当成"装好就不用管"的中小站点与政企项目，以及服务报价里从没算过"一年两次升级"的代理商。对这些使用者来说，2026 年 12 月是一次硬性提醒：Drupal 10 与 11.3 同时走到终点，没有人会替你记住这个日期。

最后一个观察：Drupal 的解法是"给用户加日历"，而不是"给维护者加钱"。这不是批评，而是提醒——如果你的站点安全取决于一条每周 8 小时的资助工时，那它其实属于风险管理问题，不属于技术选型问题。

标签：CMS、自助建站、AI建站、Drupal、观察

数据来源与查询日期（均为 2026-11-12 查询）

1. Drupal 官方 PSA-2026-11-02《Security support for Drupal core minor versions reduced to 8 months》，发布日期 2026-11-02：https://www.drupal.org/psa-2026-11-02

2. Drupal 安全公告总索引（PSA 列表）：https://drupal.org/security/psa

3. Drupal Association《256 Advisories in Five Months》（2026-10-29），经 TheDropTimes 2026-11-06 报道核对：http://www.thedroptimes.com/73252/drupal-minor-security-support-eight-months

4. Drupal Drops 首页统计（页面更新 2026-11-11；近 30 天 101 条公告 / 30 条 Critical / 3 条在 core；core 11.4.12 发布于 2026-11-06、Drupal CMS 2.2.9 发布于 2026-11-11）：https://www.drupaldrops.com/

5. Drupal core 版本与发布节奏：https://drupal.org/project/drupal

6. 版本生命周期核对（Drupal 11.4.12 / 2026-11-06 发布，数据截至 2026-11-09）：https://www.versio.io/product-release-end-of-life-eol-Drupal-Drupal.html

7. 第三方技术博客（发布经理资助工时 40→8 小时/周，非官方口径）：https://tanay.co.in/blog/your-drupal-security-is-running-on-volunteer-hours

8. 代理商解读（重叠期约 6 个月降至约 2 个月）：https://www.computerminds.co.uk/articles/drupal-security-support-is-getting-shorter

说明：本文所有日期、版本号、公告数量均来自上述来源，未做推测补全。官方未单独公布 core 11.4.12 的变更清单（该版本页对自动抓取做了访问限制），故本文不对其内容作描述；"未披露"即表示官方未公开该项。