OpenBSD 8.0: 61 lançamentos, 30 anos de história e apenas dois buracos remotos

Em 20 de outubro de 2026, o projeto OpenBSD anunciou o lançamento de sua 61ª versão estável: OpenBSD 8.0. O anúncio, feito por Theo de Raadt na lista de correio do projeto, marcou o início de uma nova era para o sistema operacional que completou 31 anos de existência neste mês — e que continua ostentando um recorde de segurança sem precedentes no mundo do software livre: apenas dois buracos exploráveis remotamente no instalador padrão em mais de três décadas de desenvolvimento.

Se essa data parece recente para um sistema com essa longevidade, é porque a cronologia dos lançamentos OpenBSD segue um ritmo deliberadamente regular: release principal a cada seis meses, no primeiro dia do mês. A 7.9 veio em maio de 2026, e a 8.0 chega exatamente seis meses depois, como esperado. O que muda nesta versão, no entanto, vai muito além do incremento numérico.

O que há de novo no OpenBSD 8.0

A mudança mais visível no espaço de endereçamento do kernel. No amd64, o espaço virtual de endereçamento do kernel cresceu de 4 GB para 512 GB — um aumento de 128 vezes que reflete a realidade das máquinas modernas de servidor e estação de trabalho. Para administradores que executam cargas de trabalho intensivas de memória, essa mudança elimina uma barreira artificial que, em máquinas com grande quantidade de RAM, poderia resultar em esgotamento do espaço de endereçamento do kernel.

No front criptográfico, o LibreSSL 4.4.0 passou a usar X25519MLKEM768 como troca de chaves preferida para conexões TLS 1.3 — um protocolo de troca de chaves pós-quântico que combina a curva X25519 com o esquema de criptografia ML-KEM-768 do NIST. Isso representa uma evolução estratégica do projeto: em vez de esperar até que a criptografia pós-quântica esteja madura o suficiente para substituir totalmente o ECC, o OpenBSD adotou uma abordagem híbrida que mantém a segurança clássica contra ameaças atuais e adiciona proteção contra computadores quânticos futuros.

O OpenSSH 10.6 também chegou junto, com correções de segurança incluindo a desabilitação do codificador LZ77 para evitar vazamentos de canal lateral, e a migração de supercop ed25519 para libsodium — uma mudança que, embora interna ao código-fonte, reflete o compromisso contínuo do projeto com bibliotecas criptográficas robustas.

Na área de rede, as filas do PF (Packet Filter) agora podem ultrapassar a barreira dos 4 Gbps de controle de largura de banda, uma melhoria significativa para instalações que exigem firewalls de alta performance. O httpd e o relayd migraram suas cifras TLS padrão de "compat" e "HIGH:!aNULL" para "secure", respectivamente — uma mudança proativa que força configurações mais fortes mesmo em sistemas que não foram ajustados manualmente.

Novos drivers e suporte a hardware

O OpenBSD 8.0 adicionou suporte para vários novos dispositivos de hardware, incluindo placas de rede Intel E610 (driver ix), dispositivos Ethernet Panther Lake e Wildcat Lake (driver em), e melhorias substanciais no driver qwx para placas Wi-Fi 6 da Qualcomm. O driver qwx recebeu uma série de correções de estabilidade, incluindo tratamento correto de eventos de código de país, gerenciamento de exceções REO RX e prevenção de crashes ao sair do estado RUN.

A arquitetura arm64 ganhou suporte a hibernação — uma funcionalidade aguardada há anos que permite salvar o estado completo da memória em disco e restaurá-la na inicialização. A implementação usa writes de assinatura via piglet I/O page, evitando memória inalcançável.

Já o RISC-V recebeu suporte para a extensão vetorial "V" e para o Advanced Interrupt Architecture, tornando as placas baseadas em RISC-V alvos mais sérios para execução do OpenBSD. O projeto também retirou oficialmente o suporte à arquitetura loongson, que "não funcionava com o Clang 22", e migrizou o sparc64 para a toolchain LLVM.

A filosofia de segurança do OpenBSD

O que torna o OpenBSD 8.0 relevante vai além dos recursos técnicos. O projeto continua operando sob uma filosofia de segurança que poucos outros sistemas operacionais adotaram — ou tentaram. Desde os primórdios, com a introdução de pledge(2) e unveil(2), o OpenBSD seguiu uma abordagem de "segurança por defeito": serviços desnecessários desativados, privilégios mínimos, separação rigorosa de privilégios entre componentes do sistema.

O recorde de "apenas dois buracos remotos em mais de 30 anos" não é marketing — é métrica. Buraco remoto significa vulnerabilidade no código que roda por padrão na instalação padrão (básico: kernel + sshd na porta 22) e que pode ser explorada sem autenticação prévia via rede. O primeiro buraco remoto foi descoberto em 2001 (IPv6); o segundo, em 2007 (também no stack IPv6). Desde então, nenhum.

A estratégia de auditoria contínua do código-fonte pelo projeto, combinada com o processo de code review rigoroso liderado por Theo de Raadt e sua equipe de voluntários, mantém esse padrão. O resultado é um sistema operacional que, mesmo em 2026, continua sendo a referência de segurança para firewalls, roteadores e servidores embutidos em infraestrutura crítica.

O que observar

A migração para criptografia pós-quântica via X25519MLKEM768 no LibreSSL é provavelmente o desenvolvimento mais significativo do OpenBSD 8.0 em termos de impacto de longo prazo. À medida que a indústria de segurança se prepara para a transição para algoritmos resistentes a computadores quânticos, o OpenBSD já está à frente — e a adoção de uma abordagem híbrida garante compatibilidade retroativa com sistemas que ainda não migraram.

A pergunta que fica é: com o espaço de kernel de 512 GB e a proteção pós-quântica já implementada, o que é que impede o OpenBSD de se tornar a distribuição de segurança padrão para infraestrutura crítica global — e por que tantos administradores ainda continuam usando Linux em firewalls?

Fontes: OpenBSD 8.0 release page, OS.watch, Tux Machines

✓ Fontes independentes cruzadas e verificadas antes da publicação