Dunque,
ho letto tutta la discussione su drupalitalia. Drupal come correttamente osservato salva la password in MD5 puro, non salted hash.
Come sapete le point release di Drupal non contengono modifiche al sistema, ma solo la correzione di falle di sicurezza. Il security team ha ritenuto che questa non fosse una falla di sicurezza, (continuo, nonostante abbia parlato con un membro del security team, ad essere piuttosto scettico) con la motivazione che, se l'attacker vede gli hash degli utenti, il problema sta nel fatto che li veda, di conseguenza non dovresti perdere del tempo usando salt sulle password perchè il problema sta da un'altra parte.
Ciò è palesemente vero, ma si scontra con security by design, il sistema deve essere sicuro anche quando l'attaccante possiede tutti i dati che esso utilizza.
Tuttavia la decisione è stata questa, ed il ciclo di sviluppo di Drupal non ha permesso i cambiamenti che invece saranno riportati in Drupal 7.
C'è da dire però che, nonostante l'uso di md5 come sistema di default, che è una pessima scelta per un sistema di salvataggio password (*), Drupal stesso è molto modulare, se hai bisogno di maggiore sicurezza è bene che tu ricorra ad uno dei molti moduli che ti permettono di risolvere questo problema.

(*) Perchè MD5 è una pessima scelta? Perchè è maledettamente veloce.
Approfondimenti quì.