Drupal 是一个使用 PHP 语言编写的开源内容管理系统（CMS），广泛用于政府、高校和企业网站，与 WordPress、Joomla 并列为全球主流建站方案之一。由于其底层完全依赖 PHP 运行环境，任何 PHP 核心层面的安全漏洞都可能直接影响 Drupal 站点，这也是当前围绕 Drupal 讨论最集中的议题。
Drupal 生态面临的 PHP 安全冲击
2025 年 10 月，PHP 官方披露并紧急修复了两个 CVSS 评分高达 9.2 的高危漏洞。这批漏洞源于 PHP 处理特定请求时可能被攻击者利用执行任意代码，波及所有基于 PHP 的应用，Drupal 站点同样在潜在影响范围内。相关动态可参考：
当前焦点与观察点
对 Drupal 运营者而言，此次事件的直接动作是尽快升级服务器上的 PHP 版本并应用官方补丁，而非等待 Drupal 自身更新——漏洞位于 PHP 运行时而非 CMS 代码中。这也再次暴露了共享底层运行时的系统性风险：一个语言级漏洞可以让几乎所有 PHP 生态产品同时承压。
值得关注的后续包括：Drupal 官方安全团队是否会针对此次事件发布专门的部署建议；欧盟等监管机构“无法修复就下线”的做法是否会成为常态化的合规压力；以及 PHP 社区提出的改进发布与响应流程能否降低未来类似事件对 Drupal 等下游项目的冲击。总体来看，Drupal 本身没有出现新的独立漏洞，但其安全性在短期内与 PHP 生态的修复进度深度绑定。