Drupal 早报 · 2026-11-13 (周四) · 24 条安全通告 + 19 条精选动态
数据窗口：2026-11-06 ~ 2026-11-13（UTC+8）。两个源未取到：security/psa（页面非 RSS）、core commits feed（302 拦截），已按规范标注，未达 3 个无需人工排查。
🌍 社区
Dries Buytaert 博客：无新增（最近一篇 10-28）
Planet Drupal 精选：
- Drupal Core News：Drupal 12 将移除 Drupal 6/7 迁移支持 — migrate_drupal 与 Migrate Drupal UI 不进 Drupal 12，老站迁移窗口收窄，有 D6/D7 客户请提前规划。https://www.drupal.org/about/core/blog/migration-support-for-drupal-6-and-7-sites-will-not-be-in-drupal-12
- The Drop Times：EU AI Act 第 50 条下的 Drupal AI 内容标注 — AI Disclosure 模块实践，服务欧洲客户需关注合规披露要求。https://www.thedroptimes.com/73321/drupal-ai-disclosure-article-50
- Aten：AI 辅助 Drupal 迁移 — 用 AI 做迁移 Discovery 与 QA，可能降低迁移项目人力成本。https://atendesigngroup.com/articles/ai-assisted-drupal-migrations-better-discovery-faster-qa
- LakeDrops：Composer 2.11 一天"冷却期"实践 — 供应链防护思路，值得生产项目评估借鉴。https://www.lakedrops.com/en/blog/why-our-drupal-sites-now-wait-day-updates
- Gspikes：政府站点 CMS 普查 — 8827 个 .gov 站点中 Drupal 占联邦政府站点 33% 领先，ToG 投标情报参考。https://gspikes.com/government-cms-census/
新模块亮点：
- email_code_login — 邮箱验证码登录，企业内网/低摩擦登录场景可评估。https://www.drupal.org/project/email_code_login
- needtome_ai_chat — 又一款 AI 聊天模块，AI 客服赛道竞争加剧。https://www.drupal.org/project/needtome_ai_chat
- table_column_resize — 表格列拖拽调整，编辑体验类。https://www.drupal.org/project/table_column_resize
新主题亮点：Frame（主打"终极页面构建器"主题，可关注是否搅动市场）；Radix Designsystemet（挪威政府设计系统基座，政府项目可参考）。新分发：Mutamad（1 个，影响力有限）。
🚨 安全通告
- 核心：本周无新增 Core SA。但 11-07 集中发布 10.6.21 / 11.3.21 / 11.4.12 三分支补丁版本，多为安全修复，建议核对 release notes 并安排升级。
- Contrib：本周共 24 条 SA（异常密集），重点如下：
| 等级 | 模块 | 问题 | 链接 |
|---|---|---|---|
| Critical | GraphQL Core Schema | 授权缺陷 | SA-CONTRIB-2026-316 |
| Moderately | Authenticator Login Plus (2FA) | 认证绕过 ×3 | 320 / 321 / 322 |
| Moderately | Mollie for Drupal | 信息泄露 + 授权错误 | 328 / 329 |
| Moderately | Commerce sermepa | 授权缺陷（支付） | SA-CONTRIB-2026-333 |
| Moderately | Real Name | Twig 注入 | SA-CONTRIB-2026-336 |
| Moderately | Entity Print | 敏感信息外发 | SA-CONTRIB-2026-327 |
| Moderately | Page Manager | CSRF | SA-CONTRIB-2026-330 |
| Moderately | Paragraphs entity embed | XSS | SA-CONTRIB-2026-325 |
其余 13 条（datafield、smart_trim、download_count、cookies、layout_builder_iframe_modal、commerce_license、texts、paragraphs_edit、campaignmonitor、file_resup、s3fs_cors 等）均为 Moderately critical，完整列表见 https://www.drupal.org/security/contrib 。
📦 重要发布
- Drupal core 11.4.12 / 11.3.21 / 10.6.21（11-07）— 三分支同步补丁，可能影响生产（含安全修复），建议按分支升级。https://www.drupal.org/node/3060/release
- pathauto 8.x-1.16（11-08）— URL 别名模块维护版，常规升级即可。
- entity_reference_revisions 8.x-1.15（11-09）— Paragraphs 生态基础依赖，建议验证后升级。
- purge 8.x-3.8（11-11）— CDN 缓存清除，生产站点常规升级。
🛠 核心开发
- Drupal 12 移除 migrate_drupal（D6/D7 迁移能力移出核心） — 重大方向变化，详见上方 Planet 精选第一条。
- 核心 commits feed 拉取失败（302 拦截），本周 core 提交明细未能获取。
- Drupal.org 基础设施 / 文档 issues feed：本周无新增。
🏛 官方动态
- Drupal Association：DA Insider 2026 年 10 月刊 — 上任一个月：150 人产出 264 篇 Drupal 倡导内容。https://www.drupal.org/association/blog/the-work-that-just-happens-the-da-insider-for-october-2026
- DA Interim CEO 周更 "In the Open" — 协会三年首次全员团建后动向，可跟踪治理走向。https://www.drupal.org/association/blog/in-the-open-why-being-together-matters
- 官方博客：AWS 开源信贷对社区基础设施的影响（中篇） — 测试基础设施现状，下篇将谈 AI 方向。https://www.drupal.org/blog/more-than-code-community-infrastructure
- BADCamp 2026 / NEDCamp 2026 演讲者访谈陆续放出（AI 治理、AI 编码为主轴），项目公告 feed 本周无新增。
🎯 今日建议行动
- 立即排查：客户站点是否使用 graphql_core_schema — 有 Critical SA，升级至 1.0.29。
- 电商客户优先：核对 mollie、commerce_sermepa、commerce_license 使用情况，按表内修复版本升级。
- 迁移商机：向仍在 D6/D7 的客户发出 Drupal 12 迁移窗口预警，可作为商务触点。