Drupal · 17 Jul 2026

Drupal 10 stopt op 9 december 2026 — en wachten op Drupal 12 gaat je niet redden

Over minder dan vijf maanden krijgt Drupal 10 geen security-updates meer. Bijna zes op de tien Drupal-sites draait er nog op. Wat de deadline echt betekent, hoe je in vijf minuten ziet waar jij staat, en waarom uitstellen tot Drupal 12 wiskundig niet uitkomt.

Kort samengevat: op 9 december 2026 bereikt Drupal 10 het einde van zijn leven. Geen security-updates meer — ook niet als je netjes op de allerlaatste versie zit. Dat is over minder dan vijf maanden.

Zit jij nog op Drupal 10? Dan ben je in goed gezelschap: volgens de eigen gebruiksstatistieken van Drupal.org draaiden op 5 juli 2026 nog 142.496 gemeten sites op Drupal 10, tegenover 100.432 op Drupal 11. Bijna zes op de tien zit dus nog op de versie die eruit gaat. Maar gezelschap maakt een deadline niet zachter.

Het goede nieuws: de sprong van 10 naar 11 is de kleinste die Drupal ooit heeft gemaakt. Het slechte nieuws: het populairste uitstelplan — “we wachten gewoon op Drupal 12” — werkt niet. Die komt twee dagen vóór de deadline uit, en je kunt hem niet eens rechtstreeks installeren. Hieronder leggen we uit waarom, en wat je wél doet.

Wat er op 9 december precies gebeurt

De officiële release-planning van Drupal is er kort over: “Drupal 10 will reach end of life on December 9, 2026.”

End of life betekent niet dat je site die dag stopt met werken. Je site blijft gewoon draaien. Wat stopt, is het vangnet eronder:

  • Het Drupal Security Team brengt geen patches meer uit voor Drupal 10. Wordt er in januari 2027 een kritiek lek gevonden dat ook in Drupal 10 zit? Dan wordt dat gedicht in 11 en 12 — niet meer in jouw versie.
  • Contrib-modules laten Drupal 10-ondersteuning vallen. Maintainers richten zich op de versies die nog leven.
  • Je site wordt onhoudbaar voor audits, certificeringen en aanbestedingen. “Draait op een end-of-life CMS” is een gesprek dat je niet wilt voeren met een security-auditor of een aanbestedende dienst.

Het verschil met een gemiste update is fundamenteel. Een gemiste update haal je in. Bij end of life is er niets meer om in te halen — de patch bestaat simpelweg niet. Hoe snel dat pijn doet, beschreven we eerder naar aanleiding van een concreet incident in Waarom een Drupal-onderhoudscontract geen luxe is.

De route naar 9 december

De deadline staat niet op zichzelf. Er zit een hele reeks momenten in 2026 die samen bepalen hoeveel ruimte je nog hebt. Twee daarvan zijn al geweest.

2026 Juni

Drupal 11.4 verschijnt — en 10.5 valt stil

In de week van 29 juni komt Drupal 11.4.0 uit. Same moment stopt de security-ondersteuning voor 10.5.x en 11.2.x. Zit je op een van die twee minors, dan krijg je sindsdien geen patches meer. Dit is al gebeurd.

2026 September

Drupal 12 beta

Beta1 staat gepland voor de week van 14 september. Dit is het ijkpunt waarop duidelijk wordt of december haalbaar blijft — het eerdere augustus-window is niet gehaald.

2026 November

Release candidates

In de week van 9 november verschijnen de eerste release candidates van Drupal 12.

2026 December

Drupal 12 komt uit

Week van 7 december. Tegelijk verschijnt Drupal 11.5 en stopt de security-ondersteuning voor 11.3.x en 10.6.x.

2026 December

Drupal 10 end of life

9 december. Twee dagen na de release van Drupal 12. Vanaf nu geen enkele security-update meer voor Drupal 10, ook niet voor wie keurig op 10.6 zit.

Draai je 10.5? Dan sta je nu al in de kou

Hier gaat het vaakst iets mis in het gesprek. Mensen denken in majors — “we zitten op Drupal 10, we hebben nog tot december” — maar Drupal rekent in minors. Elke minor heeft zijn eigen einddatum, en die van jou is misschien allang verstreken.

Toen Drupal 11.4.0 eind juni uitkwam, stopte de ondersteuning voor 10.5.x en 11.2.x per direct. Let op die tweede: ook Drupal 11-sites kunnen op dit moment zonder security-updates zitten. “Wij zijn al over naar 11” is dus geen garantie.

Zoek je versie op in deze tabel:

Jouw versieSecurity-updates?Wat je nu doet
10.4 of lagerNee, al langer nietDirect naar 10.6 — dit heeft haast
10.5.xNee, gestopt eind juni 2026Direct naar 10.6, daarna migratie plannen
10.6.xJa, tot 9 december 2026Plan nu je migratie naar Drupal 11
11.2.xNee, gestopt eind juni 2026Update naar 11.4
11.3.xJa, tot de week van 7 december 2026Update naar 11.4
11.4.xJa, dit is de actuele versieNiets — je zit goed

Kort door de bocht: alleen 11.4, 11.3 en 10.6 krijgen op dit moment nog security-updates. Alles daarbuiten is onbeschermd, ongeacht welke major erop staat.

draaien nog Drupal 10

142.496 sites

Tegenover 100.432 op Drupal 11 (meting 5 juli 2026). Bijna zes op de tien gemeten Drupal-sites moet dit jaar nog over.

krijgen nog updates

3 versies

Alleen 11.4, 11.3 en 10.6 worden nu nog van security-patches voorzien. Zit je op 10.5 of 11.2, dan sta je er sinds eind juni alleen voor.

tussen D12 en het einde van D10

2 dagen

Drupal 12 komt in de week van 7 december. Drupal 10 sterft op 9 december. Wachten op 12 levert je dus geen overlap op.

Waarom wachten op Drupal 12 geen strategie is

Dit horen we oprecht vaak: “Als Drupal 12 er toch aankomt, slaan we 11 over en gaan we in één keer door.” Klinkt efficiënt. Alleen kan het niet, om twee redenen.

Reden 1: je mag een major niet overslaan. Drupal ondersteunt alleen upgrades naar de eerstvolgende major. In de upgrade-documentatie staat het expliciet: van 9 naar 11 ga je via 10. Van Drupal 10 naar Drupal 12 gaat dus altijd via Drupal 11. Dat is geen advies, dat is het pad. Je bespaart geen enkele stap door te wachten — je stelt dezelfde stap alleen uit naar een moment waarop je hem onder tijdsdruk moet zetten.

Reden 2: de datums lopen niet uit elkaar, ze lopen tegen elkaar aan. Drupal 12 verschijnt in de week van 7 december. Drupal 10 gaat eruit op 9 december. Zelfs als alles perfect verloopt, heb je twee dagen om een major-upgrade te doen die je nog moet beginnen. En houd er rekening mee dat een net uitgebrachte major het moment is waarop je contrib-modules er het slechtst voorstaan: die hebben dan nog nauwelijks stabiele 12-releases.

Er is ook geen reden om bang te zijn voor Drupal 11 als “tussenstop die zo weer verouderd is”. Drupal 11 loopt gewoon door naast 12 — 11.5 verschijnt in dezelfde week als Drupal 12, en 11 krijgt daarna nog ruim ondersteuning. Je stapt niet op een zinkend schip; je stapt op het schip dat vaart.

De conclusie is simpel: het pad is Drupal 10 → Drupal 11, en dat pad loopt nú. Van 11 naar 12 is later een routine-klus, precies omdat je dan al bij bent.

Het goede nieuws: dit is de kleinste sprong ooit

Wie de overgang van Drupal 7 naar 8 heeft meegemaakt, krijgt bij het woord “major upgrade” nog steeds een lichte zenuwtrek. Dat was een herbouw. Dit is dat niet.

Drupal heeft de disruptieve deprecations doorgeschoven naar Drupal 13. Dat betekent dat er tussen 10 en 11 op code-niveau relatief weinig is weggehaald. Voor een doorsnee site die netjes met contrib-modules is gebouwd, is de migratie eerder een kwestie van dagen dan van maanden.

Wat je wél moet regelen, is de omgeving eronder. Drupal 11 stelt hardere eisen dan Drupal 10:

  • PHP 8.3 of hoger. Drupal 10 draaide nog op PHP 8.1. Zit je daar nog op, dan is dat vaak het echte werk.
  • MySQL 8.0, MariaDB 10.6 of PostgreSQL 16. Zie de aankondiging van de systeemeisen.
  • Composer 2.7 of nieuwer.
  • Minimaal Drupal 10.3 als vertrekpunt — zit je lager, dan ga je eerst naar 10.6.

In de praktijk zit de tijd bijna nooit in Drupal core. Hij zit in die ene contrib-module zonder Drupal 11-release, en in het custom-werk dat ooit door iemand is geschreven die er niet meer werkt. Precies daarom wil je nu weten waar je staat, en niet in november.

Zo weet je in vijf minuten waar je staat

Je hoeft niemand in te huren om de eerste vraag te beantwoorden: welke versie draai ik eigenlijk? Met Drush ben je binnen een minuut klaar.

bash 
# Welke Drupal-versie draait deze site precies?drush status --field=drupal-version# Staan er openstaande security-updates klaar?drush pm:security

Zie je hier 10.5.x of 11.2.x staan? Dan krijg je op dit moment geen security-updates meer. Zet dat bovenaan je lijst.

De tweede vraag — hoeveel werk is de migratie? — beantwoordt Drupal zelf, met de module Upgrade Status. Die scant je omgeving, je contrib-modules en je custom code, en zegt per onderdeel of het klaar is voor de volgende major:

bash 
composer require --dev drupal/upgrade_statusdrush en upgrade_status -y# Scan alles: omgeving, contrib en custom codedrush upgrade_status:analyze --all

Het rapport dat eruit rolt is je hele projectplan. Elke contrib-module valt in één van drie categorieën:

  • Stabiele Drupal 11-release beschikbaar → gewoon meenemen in de update. Geen discussie nodig.
  • Alleen een dev- of RC-versie → testen op een kopie. Werkt het, dan plan je ermee. Werkt het niet, dan wordt het categorie drie.
  • Geen Drupal 11-release → dit is een beslissing, geen taakje. Vervangen door een alternatief, zelf de patch schrijven en terugbrengen naar de community, of de functionaliteit schrappen. Dit zijn de gesprekken die tijd kosten — en de reden dat je nu wilt beginnen.

Voor deprecated code in je eigen modules doet Drupal Rector een flink deel van het saaie werk automatisch.

Het upgradepad, in het kort

Is je Upgrade Status-rapport groen en draai je op PHP 8.3+? Dan is de upgrade zelf verrassend saai — en saai is precies wat je wilt. De officiële handleiding komt neer op dit:

bash 
# 1. Eerst naar de laatste Drupal 10 (minimaal 10.3, liefst 10.6)composer update "drupal/core-*" --with-all-dependenciesdrush updatedb -y# 2. Core-pakketten naar 11 wijzencomposer require 'drupal/core-recommended:^11' \  'drupal/core-composer-scaffold:^11' \  'drupal/core-project-message:^11' --no-updatecomposer require 'drupal/core-dev:^11' --dev --no-updatecomposer require 'drush/drush:^13' --no-update# 3. Eerst kijken wat er gaat gebeuren, dan pas doencomposer update --dry-runcomposer update# 4. Database bijwerken en cache legendrush updatedb -ydrush cache:rebuild

Doe dit uiteraard nooit rechtstreeks op productie. De volgorde die wij bij een Drupal-migratie aanhouden: eerst een audit en inventarisatie, dan bouwen en testen in een aparte omgeving, dan een gecontroleerde livegang, en daarna nazorg. Die stappen staan er niet voor de sier — de composer update is het makkelijkste deel van de dag.

Wat uitstellen je kost

Er staat geen boete op het draaien van een end-of-life CMS. De rekening komt op een andere manier.

Je risico wordt onbeheersbaar. Zodra er na 9 december een lek in Drupal 10 opduikt, is er geen patch. Dan zit je vast aan noodwerk: zelf backporten, of onder maximale tijdsdruk alsnog migreren — precies wat je wilde vermijden.

Bovendien is een lek in een end-of-life systeem een publiek gegeven. De release-notes van Drupal 11 vertellen aanvallers exact wat er is gerepareerd, en jouw versie staat in je HTTP-headers. Hoe dat proces werkt, legden we uit in Hoe veilig is Drupal écht.

Je verliest je onderhandelingspositie. Een migratie die je in juli plant, doe je in je eigen tempo, met een normale planning en een normale prijs. Een migratie die in november acuut wordt, koop je in tegen spoedtarief — in de maand waarin elk Drupal-bureau in Nederland dezelfde vraag krijgt. De capaciteit die in september nog beschikbaar is, is in november verkocht.

Je krijgt het uitgelegd door iemand anders. Bij een security-audit, een ISO-traject of een aanbesteding is “we draaien op een niet-ondersteunde versie” geen technische voetnoot maar een bevinding. Dan wordt de planning niet meer door jou gemaakt.

De kern: de migratie kost hetzelfde of je hem nu doet of in november. Wat verandert is wie de datum bepaalt.

Nog vijf maanden tot 9 december

Benieuwd hoe ver jouw site van Drupal 11 af staat?

We kijken samen naar je platform en geven een eerlijke inschatting: welke versie je draait, welke modules aandacht nodig hebben, en of dit een klus van dagen of van weken is. Ook als de uitkomst is dat je nog even rustig kunt ademhalen — dan weet je dat tenminste zeker.

Bekijk Drupal migratie Neem contact op

Veelgestelde vragen

Lees meer