Drupal Security Team сообщила о сокращении срока поддержки безопасности минорных версий ядра Drupal с 12 до 8 месяцев. Новый порядок начнёт действовать с 2027 года и охватит все ветки, поддержка которых приходится на этот период. Уведомление опубликовано 28 октября и описывает график до 2028 года. Мажорные версии сохранят горизонт не менее четырёх лет, поэтому отказ от длительной поддержки платформы не планируется. Поводом для пересмотра стал рост числа сообщений об уязвимостях, который команда проекта уже не успевает обрабатывать при текущем уровне финансирования. Решение затрагивает владельцев сайтов, агентства поддержки и организации, где обновление ядра проходит через согласования.
С 2018 года, после выхода Drupal 8.6, каждая минорная ветка получала 12 месяцев поддержки. Такой цикл совпадал с ритмом крупных обновлений и давал администраторам запас времени на переход. За семь лет нагрузка на команду выросла: инструменты на основе искусственного интеллекта упростили поиск дефектов, поэтому отчётов об уязвимостях стало заметно больше. Команда называет причиной именно этот рост и ограниченное финансирование, а не смену приоритетов проекта. Для владельцев сайтов следствие практическое: исправления выходят позже, а времени на поиск способов атаки у злоумышленников с большими языковыми моделями остаётся больше. Масштаб влияния ИИ на число находок в документе не измеряется, поэтому оценка риска для конкретных сайтов остаётся предположительной.
Календарь поддержки изменится постепенно. Drupal 10 поддерживается до декабря 2026 года, Drupal 11 - до декабря 2028 года, Drupal 12 - до декабря 2030 года. Новый график применяется ко всем версиям, поддержка которых приходится на 2027 год. Внутри мажорной ветки каждая минорная версия получит шесть месяцев исправления ошибок и два месяца поддержки только безопасности. Для последней минорной версии пропорция другая: шесть месяцев исправлений и шесть месяцев безопасности. При этом такой порядок снижает объём работ по сопровождению старых веток. Одновременно он требует от администраторов более частого планирования, поскольку пауза между выпуском ветки и её выводом из поддержки сокращается.
Выбранный вариант команда описывает как компромисс с дополнительными выгодами. По данным Drupal Security Team, перенос исправлений в предыдущие ветки сократится примерно на 30 процентов, а график релизов сблизится с расписанием Symfony, от которого зависит часть ядра. Однако переходный период распределён неравномерно: ветки, выпущенные в июне 2026 года, сохранят поддержку до апреля 2027 года, а версии декабря 2026 года - до августа 2027 года. Для организаций с длительным циклом согласований ускорение означает, что решение о переходе на новую мажорную версию придётся принимать чаще. О пересмотре финансирования команды в уведомлении не сообщается.
Сокращение окна поддержки у Drupal вписывается в более широкую тенденцию. Открытые проекты пересматривают сроки под давлением роста числа сообщений об уязвимостях, а инструменты на основе ИИ снижают порог входа для тех, кто эти сообщения готовит. Для госсектора и медиакомпаний, где сайты на Drupal живут годами без смены платформы, переход на новую мажорную версию становится регулярной обязанностью. Внутренние регламенты часто привязывают устранение уязвимостей к календарным срокам, поэтому новый график затрагивает не только администраторов, но и службы, отвечающие за соответствие требованиям. На практике восьмимесячное окно оставляет меньше времени на проверку совместимости модулей. Планирование обновлений превращается в постоянную задачу, а не в редкую кампанию.
