Drupal 周报 · 2026-11-06 (周五) · 共 46 条更新（UTC+8）

🌍 社区 & 生态

Dries 博客：无新增。

Planet Drupal 精选

1. Drupal 10 将于 2026-12-09 终止支持（Pivale）— D10 站点须在 12 月前升级 Drupal 11，影响所有在维护客户。
2. Drupal CMS 2.2 Recipes 多语言机制解析（Gábor Hojtsy）— 官方 CMS 安装即多语言，中文交付可能受益，值得评估。
3. Drupal AI 演示站实测：Northmoor 大学（The Drop Times）— 官方 AI 案例落地细节，售前演示可直接引用。
4. 如何让 AI Agent 正确读取 Drupal 数据（Giorgio Pagano）— MCP + 可观测性方案，AI 集成技术路线参考。
5. Drupal 维护窗口正在变短，维保计划跟上了吗（Dynamosys）— 配合 PSA-2026-11-02，维保合约与报价需重新评估。

新模块亮点（本周共 10 个新模块）

• Canvas Content Editor / Sites Display Builder / Canvas Page Compare — 可视化建站三件套，可能冲击 Layout Builder 既有方案，竞争情报重点。
• mcp_core 1.0.0-beta13 — MCP 协议接入 Drupal，AI Agent 可直接操作站点，非安全修复但版本活跃。
• Cookiepass — Cookie 同意管理，欧洲客户合规候选。
• Proof of work — PoW 反垃圾验证，CAPTCHA 替代方案。

新主题

• GovStarter — 政府站入门主题，政府客户方案可参考。
• iDigit 沙特政府设计系统 — 中东政府数字项目主题。

新分发

• AI Entity Edit — AI 驱动的实体编辑发行版，AI 内容工作流方向。
• iDigit Gov Portal — 沙特政府门户发行版。
• Better contextual links — 上下文链接增强，编辑体验优化。

🚨 安全通告

🚨 PSA-2026-11-02：Drupal core 次版本安全支持期缩短至 8 个月 — 官方政策变更，升级窗口收紧，所有客户维保计划需调整（详见 🏛 官方动态）。

Core SA：无新增。

Contrib SA：本周共 24 条（11-04 集中发布）。Critical 9 条：

• 🚨 Simple OAuth (OAuth2) & OpenID Connect — Critical 访问绕过；修复版 6.1.4 / 6.0.10 / 5.2.6。使用 SSO/OIDC 的客户立即升级。
• 🚨 Content Synchronizer — Critical 远程代码执行；修复版 4.1.1。配置同步流程可能受影响。
• 🚨 REST & JSON:API Authentication — Critical 访问绕过；修复版 3.2.1。 headless/电商 API 站点重点排查。
• 🚨 Commerce Product Alternative — Critical 访问绕过；修复版 1.0.1。电商客户注意。
• 🚨 Reset Password Email/SMS OTP — Critical 访问绕过；修复版 1.0.5。
• 🚨 Workflow Notifications — Critical 访问绕过；修复版 3.0.3。
• 🚨 S3 File System CORS Upload — Critical 访问绕过；修复版 8.x-1.3。用 S3 直传的站点注意。
• 🚨 Highlight Js syntax highlighter — Critical XSS；修复版 1.3.1。
• 🚨 GroupEx PRO (Daxko) integration — Critical PHP 对象注入；修复版 2.2.1。

Moderately critical 14 条 / Less critical 1 条（修复版均已发布，按客户站点逐一排查）：Scheduler（2.3.1/2.2.3/8.x-1.7，使用率高，优先）、Mime Mail、Forum Access、Name Field、Islandora、AdobeAnalytics、WordsOnline Connector（SQL 注入）、Extended HTML Filter、Password Separate Form、Commerce Escrow、AlternativeCommerce PayPal、htmLawed（314/315）、Content Synchronizer XSS、Allowed Languages。

📦 重要发布

Core：无新版本（12.x 开发中）。

• metatag 2.2.6 — SEO 高频模块修复版，建议常规升级。
• flag 5.2.0 — 功能版本，可评估新特性。
• native_observability 2.2.0 — 原生可观测性模块，生产监控可关注。
• ai_vdb_provider_solr 1.0.0 / ai_media 1.0.0-rc1 / varbase_ai_media_base 1.0.0-rc1 — AI 向量检索 + 媒体处理生态趋于可用，AI 方案储备。

🛠 核心开发

• MR !17713: Deprecate .module file extension（Alex Pott）— 模块文件扩展名将废弃，自定义模块结构迎破坏性变更，模块作者需关注。
• MR !17714: Update the affected Symfony packages — 核心 Symfony 依赖安全更新进行中。
• MR !17712: Do not treat user emails canceled by hook_mail_alter — 邮件取消逻辑修正，影响邮件工作流。
• Infrastructure / Documentation issues：无新增。

🏛 官方动态

• PSA-2026-11-02：core 次版本安全支持缩至 8 个月 — 官方重大政策变更：次要版本安全支持窗口缩短，LTS 策略不变；客户维保报价与升级排期建议据此重估。
• DrupalCon / 协会活动：无新增。

🎯 今日建议行动

1. 立即排查客户站点是否使用 simple_oauth、scheduler、content_synchronizer、rest_api_authentication，本周内升级到修复版本（对应 9 条 Critical SA）。
2. Drupal 10 站点启动升级评估：EOL 为 2026-12-09，叠加 8 个月支持窗口新政，维保报价需计入更频繁的升级成本。
3. AI 售前储备：评估 mcp_core + Drupal CMS 2.2 recipes 搭建 AI 演示站，跟进本周 Drupal AI 演示案例。