Il progetto Drupal ha annunciato il 2 novembre 2026 che, a partire dal 2027, ogni versione minore del suo nucleo (come la 11.5 o la 12.1) riceverà aggiornamenti di sicurezza per 8 mesi invece dei 12 garantiti dal 2018. Nello stesso calendario Drupal 10 arriva a fine vita il 9 dicembre 2026, la settimana in cui esce Drupal 12. Per le imprese che hanno il sito aziendale, l'area clienti o un portale su Drupal significa una cosa molto concreta: gli aggiornamenti non si possono più rimandare di un anno, ma vanno pianificati almeno due volte l'anno, con il relativo budget.
Cosa ha deciso il progetto Drupal
L'annuncio pubblico (PSA-2026-11-02) del Drupal Security Team stabilisce che ogni versione minore avrà sei mesi di supporto completo, con correzioni di errori e di sicurezza, seguiti da due mesi di sole correzioni di sicurezza. Fa eccezione l'ultima versione minore di ogni ramo principale, che conserva sei mesi di supporto completo più sei di sola sicurezza. Il passaggio è graduale: Drupal 11.3 resta coperto fino a dicembre 2026, Drupal 11.4 fino ad aprile 2027 (il calendario ufficiale indica il 21 aprile), Drupal 12.0 e 11.5, attesi a dicembre 2026, fino ad agosto 2027, Drupal 12.1 e 11.6, previsti a giugno 2027, fino a febbraio 2028. Le versioni principali mantengono invece almeno quattro anni di vita: Drupal 11 è supportato fino a dicembre 2028, Drupal 12 fino a dicembre 2030.
La motivazione dichiarata è un'ondata di segnalazioni di vulnerabilità legata alla diffusione degli strumenti di intelligenza artificiale, che produce più lavoro di quanto il Security Team riesca a sostenere con i fondi attuali. Mantenere meno versioni in parallelo riduce di circa il 30% il lavoro di riporto delle correzioni sulle versioni precedenti e allinea Drupal al calendario di Symfony, il framework PHP su cui è costruito. Il progetto precisa anche il rischio opposto: senza questo compromesso le patch arriverebbero più lentamente, lasciando più tempo agli attaccanti. Fonte primaria: annuncio PSA-2026-11-02 su drupal.org e calendario ufficiale dei rilasci del core.
Cosa cambia per le imprese
La novità non tocca la licenza né il costo del software, ma il ritmo di manutenzione. Con 12 mesi di copertura un'impresa poteva saltare una versione minore e aggiornare una volta l'anno; con 8 mesi chi resta indietro di una sola versione rischia di trovarsi senza patch. In pratica servono almeno due interventi programmati all'anno, oltre all'applicazione dei rilasci di sicurezza, che Drupal pubblica di norma il terzo mercoledì del mese. Chi ha un contratto di manutenzione con un'agenzia web dovrebbe verificare che preveda esplicitamente gli aggiornamenti di versione minore e i test dei moduli aggiuntivi, che sono la parte che più spesso si rompe.
Il punto più urgente è Drupal 10: dal 9 dicembre 2026 non riceve più rilasci, e un sito pubblico senza aggiornamenti di sicurezza è un problema anche di conformità, perché il GDPR chiede misure tecniche adeguate per i dati raccolti tramite moduli e aree riservate. Chi è ancora su Drupal 10 ha poche settimane per passare a Drupal 11, o per pianificare direttamente il salto a Drupal 12 accettando un periodo scoperto, scelta sconsigliabile per siti con login o e-commerce.
Costi reali e limiti da considerare
Drupal resta software libero con licenza GPL, senza canoni, ma il costo vero sta nel lavoro: aggiornamento del core e dei moduli contribuiti, verifica del tema grafico, test in un ambiente di prova e, spesso, adeguamento del server a versioni più recenti di PHP e del database. Per un sito aziendale di media complessità il passaggio da Drupal 10 a 11 può richiedere da qualche giornata a diverse settimane di sviluppo, a seconda di quanti moduli personalizzati o non più mantenuti contiene. Gli aggiornamenti minori successivi sono in genere molto più leggeri, ma con la nuova cadenza vanno messi a budget due volte l'anno. Per i siti che non possono migrare in tempo esistono fornitori commerciali di supporto esteso a pagamento, come già accaduto per Drupal 7, ma l'annuncio non ne cita per Drupal 10: va verificato caso per caso.
Il commento di PINET
La decisione è un segnale da leggere oltre Drupal: la crescita delle segnalazioni generate con l'intelligenza artificiale sta mettendo sotto pressione i team di sicurezza dei progetti open source, e accorciare i cicli di supporto è una risposta che altri potrebbero imitare. Per una PMI la lezione è organizzativa più che tecnica: il sito web va trattato come un'infrastruttura con un calendario di manutenzione e un costo ricorrente, non come un progetto chiuso alla consegna. Chi ha Drupal 10 deve muoversi ora; chi è già su Drupal 11 può approfittarne per chiedere al proprio fornitore un piano scritto con due finestre di aggiornamento l'anno.
| Soluzione | Drupal core (CMS), nuova politica di supporto di sicurezza delle versioni minori |
|---|---|
| Area d'uso | Siti web aziendali, portali, aree riservate per clienti e partner, siti multilingua |
| Alternativa a | CMS proprietari e piattaforme SaaS per siti web (per esempio Sitecore, Adobe Experience Manager, Wix) |
| Licenza | GPL 2.0 o successiva, approvata OSI |
| Modello | Community, con agenzie e fornitori commerciali che offrono sviluppo, hosting e manutenzione |
| Installazione | Entrambi: self-hosted su server propri o hosting gestito, anche su cloud europei |
| Italiano | Interfaccia del core tradotta in italiano tramite il sistema di traduzione della comunità; documentazione ufficiale principalmente in inglese |
| Supporto in Italia | Numerose agenzie web specializzate e comunità italiana di Drupal; nessun supporto contrattuale diretto dal progetto |
| Costo reale | Nessun costo di licenza; da mettere a budget migrazione da Drupal 10 (da alcune giornate a settimane di sviluppo), due aggiornamenti minori l'anno con test, eventuale adeguamento del server, contratto di manutenzione con un'agenzia |
| Indice di prontezza PMI | 3/5 - Maturo con integratore (piattaforma solida e diffusa, ma la nuova cadenza di aggiornamento richiede competenze tecniche o un fornitore con contratto di manutenzione; indice editoriale, non una certificazione) |
| Sito / repository | drupal.org - git.drupalcode.org/project/drupal |
| Fonte | Drupal Security Team, PSA-2026-11-02, 2 novembre 2026; Drupal, calendario dei rilasci del core |
Immagine: foto di Ilya Pavlov su Unsplash (licenza Unsplash).
