OpenStack 2026.2 Hibiscus fügt vertrauliches Computing und vGPU-Unterstützung hinzu

Die OpenStack-Community veröffentlichte OpenStack 2026.2 (Hibiscus) am 30. September 2026, die 34. Veröffentlichung der Open-Source-Cloud-Infrastruktur‑Software, und fügte Unterstützung für vertrauliches Computing auf AMD‑ und Intel‑Plattformen, neue Verwaltungsoptionen für GPU‑beschleunigte Workloads sowie Effizienzverbesserungen für großskalige Einsätze hinzu.

Rund 600 Mitwirkende arbeiteten während des sechsmonatigen Hibiscus‑Entwicklungszyklus zusammen, was einem Anstieg von 21 % gegenüber OpenStack 2026.1 Gazpacho entspricht, und sie lieferten 11.500 Code‑Änderungen, ein um 28 % höherer Wert von Release zu Release, laut Projekt. Im selben Zyklus führte das OpenDev‑Zuul‑Continuous‑Integration‑System etwa 1,6 Millionen Jobs aus, um Software im gesamten OpenStack‑Ökosystem zu bauen, zu testen und zu veröffentlichen; in den letzten fünf Jahren hat Zuul mehr als 14,2 Millionen Jobs zur Unterstützung der OpenStack‑Entwicklung durchgeführt.

Vertrauliches Computing und Sicherheit

Vertrauliches Computing ist ein zentrales Investitionsfeld der Veröffentlichung, laut Ankündigung. Die projektebezogenen Release‑Highlights, die direkt von den Projektteams gemeldet wurden, besagen, dass Nova nun Instanzen mit AMD SEV‑SNP‑Speicherverschlüsselung starten kann, der dritten Generation von AMDs Secure Encrypted Virtualization. Laut den Release‑Notes bietet SEV‑SNP einen stärkeren Integritätsschutz als SEV‑ES und ermöglicht Plattform‑Attestierung, wodurch Gast‑Eigentümer die Integrität ihrer virtuellen Maschinen anhand signierter Attestierungsberichte überprüfen können. Betreiber fordern SEV‑SNP‑Instanzen mit der Flavor‑Extra‑Spec hw:mem_encryption_model=amd-sev-snp oder der entsprechenden Image‑Eigenschaft an.

Nova unterstützt nun auch Intel Trust Domain Extensions (TDX) für vertrauliches Computing auf Intel‑Plattformen, speziell 5. Gen‑Xeon‑Scalable‑Prozessoren oder neuere. Laut den Release‑Notes bietet TDX hardware‑erzwungene Speicherverschlüsselung und CPU‑Zustandsisolierung, schützt Gäste vor dem Hypervisor und anderer privilegierter Software, und die Attestierung wird über den Quote‑Generation‑Service unterstützt.

Designate, der DNS‑Dienst, fügte Unterstützung für TLSA‑Einträge hinzu, definiert in RFC 6698, die für DANE‑Zertifikats‑Pinning verwendet werden, und erhielt Werkzeuge zur Post‑Quantum‑Kryptografie‑Bereitschaft, einschließlich eines konfigurierbaren Prüfmodus, der den Dienststart bei quanten‑anfälligen Zertifikats‑Algorithmen oder veralteten TLS‑Versionen blockieren kann. Designate behebt außerdem OSSA‑2026‑034, einen übergreifenden Tenant‑Zonen‑Besitz‑Umgehungsfehler, der es einem Tenant ermöglichte, eine Subzone, eine Superzone oder ein Duplikat einer anderen Tenant‑Zone zu erstellen, indem sie zu einem anderen Pool zugewiesen wurde, was DNS‑Traffic‑Hijacking und Denial‑of‑Service ermöglichte. Prüfungen von Zonen‑Besitz‑Konflikten durchsuchen nun alle Pools.

Cyborg behandelte CVE‑2026‑40213 und CVE‑2026‑40214, indem Anfragen auf Projekte beschränkt, eine Service‑Token‑Validierung verlangt und der Zugriff auf Hardware‑Management‑APIs verschärft wurde, und fügte optional aktivierbare, persona‑basierte Richtlinien‑Standardwerte für die Rollen reader, member, manager, service und admin hinzu, im Vorfeld einer geplanten Standardänderung in der 2027.1‑Veröffentlichung. Glance, der Image‑Dienst, lieferte Korrekturen für CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 und OSSA‑2026‑038.

Im gesamten Projekt wurden laut Release‑Seite bislang im Jahr 2026 42 OpenStack Security Advisories und 13 OpenStack Security Notes veröffentlicht, und das OpenStack Vulnerability Management Team koordiniert die verantwortungsvolle Behandlung und Offenlegung von Sicherheitslücken.

Unterstützung für KI und beschleunigte Workloads

Novas libvirt‑Treiber unterstützt nun von Cyborg verwaltete vermittelte Geräte, wie virtuelle GPUs, über einen neuen MDEV‑Accelerator‑Anforderungs‑Bindungstyp. Die Release‑Notes besagen, dass Betreiber den vGPU‑Lebenszyklus über Cyborg als Alternative zur nativen Nova‑Unterstützung verwalten können, wobei ein neues OWNER_NOVA‑Trait Scheduling‑Kollisionen zwischen von Nova verwalteten und von Cyborg verwalteten Geräten verhindert.

Manila, der Shared‑Filesystem‑Dienst, fügte neue Share‑Treiber für die parallelen Dateisysteme Weka und Lustre hinzu und erweiterte damit die Unterstützung für Hochleistungs‑Parallel‑Dateisystem‑Workloads wie KI, Machine Learning und HPC. Ironic, der Bare‑Metal‑Dienst, koordinierte mit Nova, um die Leistung der Ressourcenverfolgung in nova‑compute‑Diensten, die den Ironic‑Treiber ausführen, laut den Release‑Highlights deutlich zu verbessern. Das Ironic‑Team berichtete, dass es im 2026.2‑Zyklus mehr Sicherheits‑Bugs bearbeitet habe als in jedem anderen sechs‑monatigen Zeitraum in der Projektgeschichte, was eine Reihe von Stabilitäts‑ und Härtungs‑Verbesserungen auslöste, und seine dedizierte Firmware‑Schnittstelle ist nun der empfohlene Weg zur Verwaltung von Geräte‑Firmware‑Updates.

Effizienz im großen Maßstab

Neutron, der Netzwerk‑Dienst, reduzierte laut den Release‑Highlights den Speicherverbrauch in ML2/OVS‑HA‑Router‑Deployments um mehr als das 15‑fache, indem ein Daemon durch ein Shell‑Skript für die Keepalived‑Zustands‑Änderungs‑Überwachung ersetzt wurde. Neutron fügte außerdem ein EVPN‑Service‑Plugin und eine OVN‑Agent‑Erweiterung hinzu, um BGP‑EVPN‑Typ‑5‑Routen‑Ankündigungen bereitzustellen, sowie ein Private‑VLAN‑Service‑Plugin, das Port‑Isolation über promiscuous, isolated und community Ports ermöglicht.

Die VM‑Workload‑Konsolidierungsstrategie von Watcher berücksichtigt jetzt neben der Live‑Nutzung auch reservierte Kapazität, wenn Workloads konsolidiert werden, und zwei neue Aktionen erweitern die Automatisierung: delete entfernt dauerhaft eine Instanz und deren Ressourcen, während shelve die Rechenkapazität eines Hosts zurückgewinnt und dabei die Instanzdaten bewahrt. Glance hat die parallele Bildimportunterstützung, Downloads von bevorzugten Stores und neue APIs für das Bereinigen des Caches, das Beschneiden des Caches und das Auflisten zwischengespeicherter Knoten hinzugefügt. Horizon, das Projekt‑Dashboard, aktivierte die Einstellungen von oslo.policy enforce_scope und enforce_new_defaults standardmäßig im Einklang mit OpenStacks sicherem RBAC‑Modell, unterstützt offiziell Python 3.14 und hat die Unterstützung für Python 3.9 und 3.10 eingestellt.

Upgrade‑Pfad und nächste Version

Hibiscus ist ein Nicht‑SLURP‑Release. Der 2022 eingeführte Skip‑Level‑Upgrade‑Release‑Prozess gibt Betreibern die Möglichkeit, einmal pro Jahr statt alle sechs Monate zu aktualisieren, wobei der sechsmonatige Release‑Rhythmus von OpenStack beibehalten wird. Betreiber, die OpenStack 2026.1 Gazpacho, das vorherige SLURP‑Release aus dem April 2026, einsetzen, können wählen, Hibiscus zu überspringen und direkt auf OpenStack 2027.1 Indri zu aktualisieren, das voraussichtlich im März 2027 erscheint.

Release‑Notes und Quellcode für Hibiscus sind über die offizielle OpenStack‑Releases‑Seite verfügbar. OpenStack‑Community‑Leiter werden die neuen Funktionen und Entwicklungsarbeiten in einer OpenInfra‑Live‑Folge am 1. Oktober 2026 um 14:00 UTC diskutieren, mit Panelisten aus den Projekten Nova, Neutron, Manila, Ironic, Watcher und Freezer, dem OpenStack Technical Committee sowie dem Vulnerability Management Team.