OpenStack 2026.2 Hibiscus agrega computación confidencial y soporte vGPU

La comunidad de OpenStack lanzó OpenStack 2026.2 (Hibiscus) el 30 de septiembre de 2026, la 34ª versión del software de infraestructura cloud de código abierto, añadiendo soporte de computación confidencial para plataformas AMD e Intel, nuevas opciones de gestión para cargas de trabajo aceleradas por GPU y mejoras de eficiencia para implementaciones a gran escala.

Alrededor de 600 colaboradores colaboraron durante el ciclo de desarrollo de seis meses de Hibiscus, un aumento del 21 % respecto a OpenStack 2026.1 Gazpacho, y entregaron 11 500 cambios de código, un incremento del 28 % de una versión a otra, según el proyecto. Durante el mismo ciclo, el sistema de integración continua OpenDev Zuul ejecutó aproximadamente 1,6 millones de trabajos para compilar, probar y publicar software en todo el ecosistema de OpenStack; en los últimos cinco años, Zuul ha ejecutado más de 14,2 millones de trabajos apoyando el desarrollo de OpenStack.

Computación confidencial y seguridad

La computación confidencial es una área clave de inversión en la versión, según el anuncio. Los aspectos destacados de la versión por proyecto, informados directamente por los equipos de proyecto, indican que Nova ahora puede lanzar instancias con cifrado de memoria AMD SEV‑SNP, la tercera generación de Secure Encrypted Virtualization de AMD. Las notas de la versión describen SEV‑SNP como que brinda una protección de integridad más fuerte que SEV‑ES y permite la atestación de plataforma, lo que permite a los propietarios de invitados verificar la integridad de sus máquinas virtuales mediante informes de atestación firmados. Los operadores solicitan instancias SEV‑SNP con el hw:mem_encryption_model=amd-sev-snp especificación extra de sabor o la propiedad de imagen equivalente.

Nova también admite ahora Intel Trust Domain Extensions (TDX) para computación confidencial en plataformas Intel, específicamente procesadores Xeon Scalable de 5ª generación o posteriores. Según las notas de la versión, TDX proporciona cifrado de memoria impuesto por hardware y aislamiento del estado de la CPU, protegiendo a los invitados del hipervisor y de otro software privilegiado, y la atestación se soporta a través del Servicio de Generación de Citas.

Designate, el servicio DNS, añadió soporte para registros TLSA, definidos en RFC 6698, que se utilizan para el anclaje de certificados DANE, y obtuvo herramientas de preparación para criptografía post‑cuántica, incluido un modo de verificación configurable que puede bloquear el inicio del servicio ante algoritmos de certificado vulnerables a la computación cuántica o versiones TLS obsoletas. Designate también corrigió OSSA‑2026‑034, una vulnerabilidad de elusión de propiedad de zona entre inquilinos que permitía a un inquilino crear una subzona, superzona o duplicado de la zona de otro inquilino al programarla en un pool diferente, posibilitando secuestro de tráfico DNS y denegación de servicio. Las comprobaciones de conflictos de propiedad de zona ahora buscan en todos los pools.

Cyborg abordó CVE‑2026‑40213 y CVE‑2026‑40214 limitando las solicitudes a proyectos, exigiendo validación de token de servicio y reforzando el acceso a las API de gestión de hardware, y añadió valores predeterminados de política basados en personas opt‑in para los roles de lector, miembro, gestor, servicio y administrador antes de un cambio de valor predeterminado planificado para la versión 2027.1. Glance, el servicio de imágenes, lanzó correcciones para CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 y OSSA‑2026‑038.

En todo el proyecto, se han emitido hasta ahora 42 Avisos de Seguridad de OpenStack y 13 Notas de Seguridad de OpenStack en 2026, según la página de la versión, y el Equipo de Gestión de Vulnerabilidades de OpenStack coordina el manejo responsable y la divulgación de vulnerabilidades de seguridad.

Soporte para IA y cargas de trabajo aceleradas

El controlador libvirt de Nova ahora admite dispositivos mediados gestionados por Cyborg, como GPU virtuales, mediante un nuevo tipo de enlace de solicitud de acelerador MDEV. Las notas de la versión indican que los operadores pueden gestionar el ciclo de vida de vGPU a través de Cyborg como alternativa al soporte nativo de Nova, con un nuevo rasgo OWNER_NOVA que evita colisiones de programación entre dispositivos gestionados por Nova y por Cyborg.

Manila, el servicio de sistemas de archivos compartidos, añadió nuevos controladores de compartición para los sistemas de archivos paralelos Weka y Lustre, ampliando el soporte para cargas de trabajo de sistemas de archivos paralelos de alto rendimiento como IA, aprendizaje automático y HPC. Ironic, el servicio bare‑metal, se coordinó con Nova para mejorar significativamente el rendimiento del seguimiento de recursos en los servicios nova‑compute que ejecutan el controlador Ironic, según los aspectos destacados de la versión. El equipo de Ironic informó que manejó más errores de seguridad en el ciclo 2026.2 que en cualquier otro período de seis meses en la historia del proyecto, lo que impulsó una serie de mejoras de estabilidad y endurecimiento, y su interfaz de firmware dedicada es ahora la ruta recomendada para gestionar actualizaciones de firmware de dispositivos.

Eficiencia a gran escala

Neutron, el servicio de redes, redujo la huella de memoria en implementaciones de enrutadores HA ML2/OVS en más de 15 veces, según los aspectos destacados de la versión, al reemplazar un daemon por un script de shell para la monitorización de cambios de estado de keepalived. Neutron también añadió un plugin de servicio EVPN y una extensión de agente OVN para provisionar anuncios de rutas BGP EVPN Tipo‑5, además de un plugin de servicio VLAN privada que proporciona aislamiento de puertos mediante puertos promiscuos, aislados y comunitarios.

Estrategia de Consolidación de Cargas de Trabajo de VM de Watcher ahora considera la capacidad reservada además del uso en tiempo real al consolidar cargas de trabajo, y dos nuevas acciones amplían su automatización: delete elimina permanentemente una instancia y sus recursos, mientras que shelve recupera la capacidad de cómputo de un host preservando los datos de la instancia. Glance añadió soporte para importación paralela de imágenes, descargas desde tiendas preferidas y nuevas API para limpieza de caché, poda de caché y listado de nodos en caché. Horizon, el panel del proyecto, habilitó los ajustes enforcealcance y aplicarnew_defaults de oslo.policy de forma predeterminada, alineados con el modelo RBAC seguro de OpenStack, soporta oficialmente Python 3.14 y dejó de soportar Python 3.9 y 3.10.

Ruta de actualización y próxima versión

Hibiscus es una versión no SLURP. El Skip Level Upgrade Release Process, introducido en 2022, brinda a los operadores la opción de actualizar una vez al año en lugar de cada seis meses, manteniendo la cadencia de lanzamientos de seis meses de OpenStack. Los operadores que ejecutan OpenStack 2026.1 Gazpacho, la versión SLURP anterior publicada en abril de 2026, pueden optar por omitir Hibiscus y actualizar directamente a OpenStack 2027.1 Indri, que se espera para marzo de 2027.

Las notas de la versión y el código fuente de Hibiscus están disponibles a través del sitio oficial de lanzamientos de OpenStack. Los líderes de la comunidad de OpenStack tienen programado discutir las nuevas funciones y el trabajo de desarrollo en un episodio de OpenInfra Live el 1 de octubre de 2026 a las 14:00 UTC, con panelistas de los proyectos Nova, Neutron, Manila, Ironic, Watcher y Freezer, el Comité Técnico de OpenStack y el Equipo de Gestión de Vulnerabilidades.