Drupal 周报 · 2026-10-24 (周六) · 共 31 条更新

🌍 社区 & 生态

Dries Buytaert

• Introducing Garry Kasparov — 创始人引荐国际象棋传奇加入 Drupal 相关项目，或为 AI/战略方向布局，值得跟踪。

Planet Drupal 精选

• PHP2Shell: What Happened and How to Know Your Site Is Safe (Palantir) — PHP 底层漏洞复盘与站点自查清单，客户站点建议逐一对照。
• After the PHP security release: auditing your Drupal sites (Drupal Association) — 官方发布 PHP 安全更新后的审计指南。
• Vibe Coding Drupal: The Pragmatic Middle Path (Drupal AI Initiative) — 官方 AI 倡议谈“氛围编程”务实路线，AI 交付模式风向标。
• Drupal 12 Upgrade Guide (The Drop Times) — Drupal 12 升级要求与移除模块清单，升级决策必读。
• Drupal CLI in core finally landed in 11.4 (Metadrop) — CLI 工具进入 11.4 核心，运维/交付流程可能简化。
• Mercury Editor 3 (Aten) — 可视化编辑器大版本，客户内容运营体验竞品对标。

新模块亮点

• Solr VDB Provider — AI 向量数据库接 Solr，RAG 方案新选项。
• Hazelchat — 新聊天模块，AI 客服赛道新增玩家。
• Visual Translate — 可视化翻译工具，多语言客户可评估。
• Multi-site Configuration — 多站点配置管理，站群客户相关。
• SDC Anchor Navigation — SDC 组件锚点导航，与核心 Single Directory Components 方向一致。

新主题 / 分发

• LCARS-NG — 新主题 1.0.0（星际迷航风格，小众）。
• NoteWorthy — 新分发，笔记/知识管理方向。

🚨 安全通告

本周大事：10-21 14:00 UTC PHP 发布关键安全修复（PSA-2026-10-20），影响所有 PHP 版本，Drupal 站点需升级 PHP 及核心。另有一批 contrib 模块批量 SA（10-22 集中发布）。

• [Critical] SA-CONTRIB-2026-225 Custom Formatters — 远程代码执行 — RCE 级别，使用客户立即升级至 4.2.1。
• [Critical] SA-CONTRIB-2026-253 Monster Menus — PHP 对象注入 — 高校/机构站点常用，立即升级至 9.5.6。
• [Critical] SA-CONTRIB-2026-221 UI Icons — XSS — 图标模块 XSS，升级至 1.1.3 / 2.0.2。
• [Critical] SA-CONTRIB-2026-227 Dopup — 信息泄露 — 升级至 1.0.7。
• [Critical] Zero Point / Black Hole / ABC — 主题 XSS — 三款主题同名问题，用这些主题的客户需升级。
• [Highly critical] SA-CONTRIB-2026-220 Ffmpeg Image Toolkit — RCE — 多媒体处理链 RCE，使用客户尽快升级。
• [Moderately critical] 其余 26 条（10-22 集中发布）：涉及 Rabbit Hole、Shield、Domain、Simple OAuth、Bootstrap、View Unpublished、Fullcalendar View、Media Bulk Upload 等常用模块，均有对应修复版本，详见 contrib 安全列表。

📦 重要发布

• drupal 10.6.20 / 11.3.20 / 11.4.11 — 10-21 随 PHP 安全修复同步发布，生产站点建议尽快升级。
• bootstrap 8.x-3.45 — 含 XSS 安全修复。
• simple_oauth 6.1.3 — Access bypass 修复，API/SSO 客户必升。
• domain 3.0.2 — Access bypass 修复，多域名客户必升。
• sector 10.4.2 / 10.3.3 — 发行版安全更新（XSS）。
• view_unpublished 8.x-1.5 — Access bypass 修复。

🛠 核心开发

• Drupal CLI 进入 11.4 核心（见 Planet 精选）— 建议在新项目 CI/CD 中评估替代 Drush 部分场景。
• Contribution credit updates — 协会提高核心与安全贡献权重，团队贡献统计口径将变化。
• Core commits / Infrastructure / Docs issues feed 本周无新条目。

🏛 官方动态

• Drupal Association 连发两篇：PHP 安全更新审计指南 + 贡献权重调整（见上文）。
• Southwestern Ontario DrupalCamp 2026 — 议题聚焦 AI Trust 与 Drupal 12 准备度。
• DrupalCamp Italy 2026 — 预告 AI 迁移、政务平台、企业安全议题。

🎯 今日建议行动

• 立即排查：核对全部客户站 PHP 版本，升级至 10-21 安全修复版，并同步升级 Drupal core 至 10.6.20 / 11.3.20 / 11.4.11。
• 批量升级：扫描客户 composer.json，本周 30+ 条 contrib SA 中重点排查 Custom Formatters、UI Icons、Bootstrap、Simple OAuth、Domain、Monster Menus。
• 选型跟踪：评估 Mercury Editor 3 与 Drupal core CLI（11.4）对现有项目交付流程的影响，列入下周技术分享议题。