作者：成都长风云Drupal开发团队
问个简单问题：你的网站使用的是 Drupal 10 吗？
如果你的答案是 “是”、“应该是吧” 或者 “呃，我得问问别人”，那就继续往下看。Drupal 10 的生命周期将于 2026 年 12 月 9 日 结束。距离现在还有五周，刚好卡在圣诞假期前后。说实话，这个时间点并不友好。
一、12 月 9 日会发生什么？
你的 Drupal 10 站点不会在午夜突然宕机。网站依旧可以访问，编辑人员也能正常登录，不会收到官方发来的提醒邮件。变化在于：Drupal 安全团队将不再为 Drupal 10 发布安全补丁。从这天起，如果有人发现 Drupal 10 内核存在安全漏洞，漏洞会一直留在你的网站上无法修复。
情况还会随着时间推移持续恶化。贡献模块的维护者会把开发重心转向 Drupal 11 和 12，你网站依赖的模块将不再推出适配 Drupal 10 的版本。另外，如果你的网站存储个人数据（联系表单、用户账号、订单信息等），在《通用数据保护条例》（GDPR）的要求下，继续运行没有安全维护的软件，很难合规。
二、AI 时代，停止维护的版本不再是可选方案
几年前，你勉强可以继续运行旧版 Drupal 几个月。但今后很难有继续这样，因为AI的出现，会推动漏洞很快被发现。
AI 大幅降低了挖掘安全漏洞的成本，同时极大提升了扫描速度。正如 Drupal 协会原话所述：“借助 AI 辅助分析，潜在漏洞的发现速度正在持续加快”。数据也印证了这点：2026 年 6 月至 10 月期间，Drupal 针对内核与贡献模块一共发布了 256 份安全公告，平均每月超过 50 条。漏洞数量如此庞大，Drupal 协会专门设立了 AI 安全专项小组，协助志愿者安全团队跟进处置。
攻击者同样可以使用这些 AI 工具，也能看到公开的安全公告。如果是仍在支持周期内的版本，每份公告都会附带修复方案，你可以在发布当天完成修补。而到了 12 月 9 日之后，安全公告还会持续发布，但不再为 Drupal 10 提供补丁，网站上已知漏洞会每周不断累积。继续使用已停止维护的版本，已经行不通。
三、登上 BBC、央视新闻的 PHP 漏洞事件
上个月的案例就是最好的证明。10 月 21 日，Drupal 和大量网站所依赖的编程语言 PHP，紧急修复了两个高危漏洞，也就是 PHP2Shell。事件严重程度登上主流媒体：BBC 报道全球多家网站因此下线，网络安全机构要求无法及时打补丁的机构关停站点，芬兰政府也临时关闭了公共线上服务。
这些漏洞正是由 AI 发现。本次漏洞的发现方之一、安全厂商 Wiz 称，这是 AI 挖掘出的 “史上最严重漏洞”。
这件事对 Drupal 10 站点影响尤为突出。PHP 8.2、8.3、8.4、8.5 都收到了官方补丁，但 PHP 8.1 这类早已停止维护的旧版本仅提供源码补丁，没有正式发行包。Drupal 10 还可以跑在 PHP 8.1 上，而 Drupal 11 要求 PHP 8.3 及以上版本。升级 Drupal 的同时，就能切换到受官方支持的 PHP 版本，一举两得。
四、Drupal 12 将在同一周发布
12 月的时间线会更加紧张：Drupal 12.0.0 计划于 2026 年 12 月 7 日那一周发布，同期还会推出 Drupal 11.5.0。你或许会想跳过一个版本，直接从 Drupal 10 升级到 Drupal 12。不建议这样做。
全新的 Drupal 大版本内核只是一方面，网站还依赖各类贡献模块。根据我们的经验，大多数模块需要 3–6 个月才能完成对新版大版本的适配。如果在新版本首发当天就升级，很大概率会遇到大量模块不兼容的问题。
这也是我们不会让客户第一时间就升级到全新大版本的原因。Drupal 11 是当下稳定、维护完善的选择：Drupal 12 发布之后，Drupal 11 依旧会持续收到安全更新；11.4.x 版本支持周期至 2027 年 4 月 21 日，11.5 版本会和 Drupal 12 同步推出。
五、Drupal 10 升级到 11 包含哪些工作
好消息：Drupal 10 升级到 11 属于原地升级。如果你还记得 Drupal 7 迁移的繁琐，大可放心。你的内容、用户数据和配置全部保留不变，工作量集中在周边配套部分：
- 核查主机环境：Drupal 11 的运行环境要求高于 Drupal 10，最低需要 PHP 8.3 及以上，服务器环境可能需要先升级。
- 模块审计：我们使用 Upgrade Status模块，核查哪些贡献模块已有 Drupal 11 适配版本、哪些需要更新、哪些已经废弃需要替换。
- 修复自定义代码：Drupal 会先把旧 API 标记为弃用，之后才移除。自定义模块和主题里所有弃用代码都需要更新。Drupal Rector可以自动处理大部分工作，剩余部分由开发人员手动处理。
- 测试，再上线升级：我们先在网站副本上完整执行升级流程，充分测试，确认无误后再切换生产环境。
项目耗时取决于站点的自定义代码量与贡献模块数量。所以千万别拖到 12 月 7 日那一周才动手。
六、后续再升级 Drupal 12
站点升级到 Drupal 11 之后，Drupal 12 就不再是迫在眉睫的截止日期，而是一项可规划的工作。等到你站点依赖的贡献模块在 Drupal 12 上稳定可用时，我们再审计自定义代码中的弃用项，同步做优化，然后执行升级。Drupal 12 需要 PHP 8.5，届时我们会再次核验主机环境。从容推进，避免圣诞期间出事故。
如果你的网站还跑在 Drupal 10，并且还没有预约升级服务，现在就要安排起来。安全公告发布频率如此之高，每多运行一周不受支持的版本，就多一周暴露已知漏洞的风险。欢迎联系我们的技术专家咨询，无任何强制义务：我们会告知升级包含哪些工作，以及最快的实施周期。
我们从 2008 年开始深耕 Drupal 开发，团队全部为经验丰富的全职人员。相比出事之后帮你应急修复，我们更希望现在就协助你完成升级。
