Paketupdateverfahren bei Sicherheitslücke in Drupal 6

[Christoph Fischer <debian@christophfischer.com>]

Hi Leute,

habe eine Frage zu Sicherheitsupdates in Debian:

Ich habe eine Sicherheitslücke im Paket Drupal 6 gemeldet
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=526378 ,
die nun vom Maintainer geschlossen wurde. Er schreibt, dass der Bug im
neuen Paket welches im Debian FTP Archiv liegt geschlossen ist:

drupal6_6.11-1.diff.gz
  to pool/main/d/drupal6/drupal6_6.11-1.diff.gz
drupal6_6.11-1.dsc
  to pool/main/d/drupal6/drupal6_6.11-1.dsc
drupal6_6.11-1_all.deb
  to pool/main/d/drupal6/drupal6_6.11-1_all.deb
drupal6_6.11.orig.tar.gz
  to pool/main/d/drupal6/drupal6_6.11.orig.tar.gz

Das sehe ich auch so, aber wieso gibt es aktuell kein Update in Lenny?
Wird das Update nicht "backported", sondern gibt es demnächst ein
komplett neues Paket, sprich ersetzt das Paket im Pool das alte "lenny
(stable) 6.6-3" irgendwann oder erst in Squeeze?

Irgendwie scheine ich den Vorgang der Sicherheitsaktualisierungen doch
noch nicht ganz verstanden zu haben ;-)

Hoffe einer von Euch gibt mir Nachhilfe.

LG

Christoph