OpenBSD 8.0: 61 lanzamientos, 30 años de historia y solo dos agujeros remotos

El 20 de octubre de 2026, el proyecto OpenBSD anunció el lanzamiento de su 61ª versión estable: OpenBSD 8.0. El anuncio, realizado por Theo de Raadt en la lista de correo del proyecto, marcó el inicio de una nueva etapa para el sistema operativo que cumplió 31 años este mes — y que continúa ostentando un récord de seguridad sin precedentes en el mundo del software libre: solo dos agujeros explotables de forma remota en la instalación predeterminada durante más de tres décadas de desarrollo.

Si esta fecha parece reciente para un sistema con esa longevidad, es porque los lanzamientos de OpenBSD siguen un ritmo deliberado y regular: lanzamiento principal cada seis meses, el primer día del mes. La 7.9 llegó en mayo de 2026, y la 8.0 llega exactamente seis meses después, como se esperaba. Lo que cambia en esta versión, sin embargo, va mucho más allá del incremento numérico.

Qué hay de nuevo en OpenBSD 8.0

El cambio más visible está en el espacio de direcciones del kernel. En amd64, el espacio de direcciones virtuales del kernel ha crecido de 4 GB a 512 GB — un aumento de 128 veces que refleja la realidad de las máquinas modernas de servidor y estación de trabajo. Para administradores que ejecutan cargas de trabajo intensivas en memoria, este cambio elimina una barrera artificial que, en máquinas con gran cantidad de RAM, podría resultar en agotamiento del espacio de direcciones del kernel.

En el frente criptográfico, LibreSSL 4.4.0 ahora usa X25519MLKEM768 como intercambio de claves preferido para conexiones TLS 1.3 — un protocolo de intercambio de claves post-cuántico que combina la curva X25519 con el esquema de cifrado ML-KEM-768 del NIST. Esto representa una evolución estratégica del proyecto: en lugar de esperar hasta que la criptografía post-cuántica esté lo suficientemente madura para reemplazar completamente el ECC, OpenBSD adoptó un enfoque híbrido que mantiene la seguridad clásica contra amenazas actuales y añade protección contra futuros ordenadores cuánticos.

OpenSSH 10.6 también llegó junto, con correcciones de seguridad incluyendo la desactivación del codificador LZ77 para evitar fugas de canal lateral, y la migración de supercop ed25519 a libsodium — un cambio que, aunque interno al código fuente, refleja el compromiso continuo del proyecto con bibliotecas criptográficas robustas.

En redes, las colas de PF (Packet Filter) ahora pueden superar la barrera de los 4 Gbps de control de ancho de banda, una mejora significativa para instalaciones que exigen firewalls de alto rendimiento. httpd y relayd migraron sus cifrados TLS predeterminados de "compat" y "HIGH:!aNULL" a "secure", respectivamente — un cambio proativo que fuerza configuraciones más seguras incluso en sistemas que no fueron ajustados manualmente.

Nuevos controladores y soporte de hardware

OpenBSD 8.0 añade soporte para varios nuevos dispositivos de hardware, incluyendo tarjetas de red Intel E610 (controlador ix), dispositivos Ethernet Panther Lake y Wildcat Lake (controlador em), y mejoras sustanciales en el controlador qwx para tarjetas Wi-Fi 6 de Qualcomm. El controlador qwx recibió una serie de correcciones de estabilidad, incluyendo manejo correcto de eventos de código de país, gestión de excepciones REO RX y prevención de crashes al salir del estado RUN.

La arquitectura arm64 ganó soporte de hibernación — una funcionalidad esperada desde hace años que permite guardar el estado completo de la memoria en disco y restaurarla al arranque. La implementación usa escrituras de firma vía piglet I/O page, evitando memoria inalcanzable.

RISC-V recibió soporte para la extensión vectorial "V" y la Advanced Interrupt Architecture, haciendo que las placas basadas en RISC-V sean objetivos más serios para la ejecución de OpenBSD. El proyecto también retiró oficialmente el soporte para la arquitectura loongson, que "no funcionaba con Clang 22", y migró sparc64 a la toolchain LLVM.

La filosofía de seguridad de OpenBSD

Lo que hace que OpenBSD 8.0 sea relevante va más allá de las características técnicas. El proyecto continúa operando bajo una filosofía de seguridad que pocos otros sistemas operativos han adoptado — o intentado. Desde los primeros días, con la introducción de pledge(2) y unveil(2), OpenBSD siguió un enfoque de "seguridad por defecto": servicios innecesarios desactivados, privilegios mínimos, separación rigurosa de privilegios entre componentes del sistema.

El récord de "solo dos agujeros remotos en más de 30 años" no es marketing — es métrica. Un agujero remoto significa una vulnerabilidad en el código que se ejecuta por defecto en la instalación estándar (básico: kernel + sshd en el puerto 22) que puede ser explotado sin autenticación previa a través de la red. El primer agujero remoto fue descubierto en 2001 (IPv6); el segundo, en 2007 (también en el stack IPv6). Desde entonces, ninguno.

La estrategia de auditoría continua del código fuente por parte del proyecto, combinada con el riguroso proceso de code review liderado por Theo de Raadt y su equipo de voluntarios, mantiene este estándar. El resultado es un sistema operativo que, incluso en 2026, continúa siendo la referencia de seguridad para firewalls, routers y servidores embebidos en infraestructura crítica.

Qué observar

La migración a criptografía post-cuántica vía X25519MLKEM768 en LibreSSL es probablemente el desarrollo más significativo del OpenBSD 8.0 en términos de impacto a largo plazo. A medida que la industria de seguridad se prepara para la transición a algoritmos resistentes a computadores cuánticos, OpenBSD ya está adelante — y la adopción de un enfoque híbrido garantiza compatibilidad retroactiva con sistemas que aún no migraron.

La pregunta que queda es: con 512 GB de espacio de kernel y protección post-cuántica ya implementada, ¿qué impide que OpenBSD se convierta en la distribución de seguridad predeterminada para la infraestructura crítica global — y por qué tantos administradores continúan usando Linux en firewalls?

Fuentes: OpenBSD 8.0 release page, OS.watch, Tux Machines

✓ Fuentes independientes cruzadas y verificadas antes de la publicación