Drupal 周报 · 2026-10-31 (周六) · 共 216 条更新（时间均为 UTC+8）
🌍 社区
Dries Buytaert（创始人观点）
- Website migration costs are going to zero — 迁移成本趋零将改写建站商业模型，值得评估对建站/迁移业务定价的影响（10-29）
Planet Drupal 精选（5 条）
- 256 Advisories in Five Months: Results from the Drupal AI Security Initiative — AI 安全倡议半年产出 256 份通告，AI 类模块将进入常态安全审计（10-29）
- Centarro: Update Drupal Commerce sites for an exploit observed in the wild — Commerce 已被野外利用，有电商客户请立即行动（10-30）
- How to Use AI Coding Agents on Drupal Projects with AGENTS.md, Tests and MCP — AI 编程代理落地 Drupal 的工程实践（10-29）
- Drupal AI Initiative: Turning AI's Promise Into Practical Results at Drupal AI Summit Paris 2026 — 巴黎 AI 峰会成果，AI 功能路线图信号（10-29）
- DDEV October 2026: PHP2Shell Fixed in v1.25.5 — 开发环境供应链风险修复，团队应统一升级 DDEV（10-27）
新模块亮点
- Layout components (for Canvas) / Canvas layouts — Drupal CMS Canvas 页面搭建生态持续扩张，可视化建站竞品情报（10-30）
- Commerce Mollie Notify — Mollie 支付异步通知，欧洲电商客户可关注（10-29）
- Cloudflare Markdown for Agents Preview — 面向 AI Agent 的内容输出优化，新赛道信号（10-30）
- DKAN Clone Dataset — 政府开放数据站点（DKAN 体系）功能补强（10-30）
新主题
- GovCraft — 政府站主题，政府/教育客户选型可关注（10-28）
- Art Gallery theme（10-30）；新分发：无新增
🚨 安全通告
本周 contrib 安全通告 39 条（10-28/29 集中发布），无 core SA。核心提示：Drupal Commerce 已确认存在野外利用。
Critical（务必立即处理）
- 🚨 Commerce Stripe - Critical - CSRF（SA-CONTRIB-2026-263）+ 签名绕过 SA-2026-264：Stripe 支付可被伪造请求，电商站点高危
- 🚨 AI (Artificial Intelligence) - Critical - XSS（SA-CONTRIB-2026-269）：AI 模块多个 XSS（共 8 条 SA），用 AI 模块的站点升级 1.5.2 / 1.4.11
- 🚨 Single Content Sync - Critical - RCE（SA-CONTRIB-2026-275）+ 文件路径控制 SA-2026-274
- 🚨 OAuth2 Token Manager - Critical - Access bypass（SA-CONTRIB-2026-290）：OAuth 令牌可被越权访问，认证集成站点高危
- 🚨 OAuth Login (OIDC SSO) - Critical - 认证绕过（SA-CONTRIB-2026-284）：SSO 登录可被绕过
- 🚨 Stage File Proxy - Critical - XSS（SA-CONTRIB-2026-286，注意：开发环境常用模块）
- 🚨 Signature pad widget - Critical - XSS（SA-CONTRIB-2026-285）
- 🚨 三个无人维护模块被标记 Critical/Unsupported：GroupEx PRO、PayUmoney for Commerce、CacheFlush — 建议直接弃用
Highly Critical
- 🚨 Commerce Core - Highly Critical - Access bypass（SA-CONTRIB-2026-254）+ 另有 5 条 Moderately critical：Commerce 全线批量修复，已观察到野外利用
Moderately Critical（摘要）
- Field Permissions ×2（-289/-288，Access bypass）、OpenID Connect Client、S3 File System、CAPTCHA（会话重放绕过）、Fasttoggle ×2、Media Alias Display、Content Sync、AI 模块 ×6 条 XSS/信息泄露、Bulk Update User Roles、Commerce License / Shipping
其他：PSA 无新增（最近一条 PSA-2026-10 发布于 10-20，已过期窗口）；Core SA 无新增（最近为 10-14）
📦 重要发布
Drupal core：无新增（最近核心版本发布于 10-21，处于稳定窗口）
热门 contrib（安全/稳定版）
| 项目 | 版本 | 影响 |
|---|---|---|
| commerce | 8.x-2.41 / 3.3.13 | 安全修复，含野外利用，立即升级 |
| ai | 1.5.2 / 1.4.11 | 安全修复（多个 XSS SA） |
| captcha | 8.x-1.18 / 2.0.11 | 安全修复（CAPTCHA 绕过） |
| token | 8.x-1.18 | 常规修复，装机量大建议跟进 |
| field_permissions | 8.x-1.6 | 安全修复 |
| stage_file_proxy | 3.1.7 / 4.0.1 | 安全修复 |
| media_migration | 8.x-1.0 | 首个稳定版，迁移项目可关注 |
| search_api | 8.x-1.43 | 常规修复 |
| s3fs | 8.x-3.12 | 安全修复 |
| emulsify | 7.3.1 | 主题工具链修复 |
🛠 核心开发
- masterminds/html5 升级至 2.12.0：向 10.6.x–12.0.x 全分支提交，属依赖安全/兼容更新，可能随下个 core 补丁版发布
- CKEditor 5 升级至 49.0.1：编辑器维护更新
- 草案：让 Admin 成为 profiles 默认主题：Drupal CMS 方向信号，值得跟踪
- infrastructure / documentation issues：无新增；第三方注意：DDEV v1.25.5 修复 PHP2Shell 供应链问题
🏛 官方动态
无新增（Project Announcements 最近更新为 9-17；本周官方声音主要通过 Planet 渠道，如 Drupal Association 的 Advocacy Program 首月成果、AI Initiative 巴黎峰会成果）
🎯 今日建议行动
- 立即排查所有使用 Drupal Commerce 的客户站点：升级到 commerce 3.3.13 / 8.x-2.41 + commerce_stripe 2.2.3，并核查订单日志（Centarro 已确认野外利用）。
- 本周内升级使用 AI 模块、OAuth/OIDC 登录、CAPTCHA 的站点（ai 1.5.2、oauth2_token_manager 8.x-1.2 / 1.4、oauth_login_oauth2 3.1.1、captcha 8.x-1.18），这些均为可直接利用的认证/支付面漏洞。
- token 8.x-1.18、search_api 8.x-1.43 等高频模块纳入下周维护窗口常规升级；开发团队统一升级 DDEV 至 v1.25.5+。