OpenStack 2026.2 Hibiscus añade computación confidencial y soporte vGPU

La comunidad de OpenStack lanzó OpenStack 2026.2 (Hibiscus) el 30 de septiembre de 2026, la 34ª versión del software de infraestructura cloud de código abierto, añadiendo soporte de computación confidencial para plataformas AMD e Intel, nuevas opciones de gestión para cargas de trabajo aceleradas por GPU y mejoras de eficiencia para implementaciones a gran escala.

Alrededor de 600 colaboradores trabajaron durante el ciclo de desarrollo de seis meses de Hibiscus, lo que representa un aumento del 21 % respecto a OpenStack 2026.1 Gazpacho, y entregaron 11 500 cambios de código, un incremento del 28 % de una versión a otra, según el proyecto. En el mismo ciclo, el sistema de integración continua OpenDev Zuul ejecutó aproximadamente 1,6 millones de trabajos para compilar, probar y publicar software en todo el ecosistema de OpenStack; en los últimos cinco años, Zuul ha ejecutado más de 14,2 millones de trabajos apoyando el desarrollo de OpenStack.

Computación confidencial y seguridad

La computación confidencial es un área clave de inversión en la versión, según el anuncio. Los aspectos destacados de la versión por proyecto, reportados directamente por los equipos del proyecto, indican que Nova ahora puede lanzar instancias con cifrado de memoria AMD SEV‑SNP, la tercera generación de la Virtualización Segura Encriptada de AMD. Las notas de la versión describen SEV‑SNP como que brinda una protección de integridad más fuerte que SEV‑ES y permite la atestación de la plataforma, lo que permite a los propietarios de las máquinas virtuales verificar la integridad de sus VM mediante informes de atestación firmados. Los operadores solicitan instancias SEV‑SNP con la especificación extra del flavor hw:mem_encryption_model=amd-sev-snp o la propiedad de imagen equivalente.

Nova también admite ahora Intel Trust Domain Extensions (TDX) para computación confidencial en plataformas Intel, específicamente procesadores Xeon Scalable de quinta generación o posteriores. Según las notas de la versión, TDX ofrece cifrado de memoria impuesto por hardware y aislamiento del estado de la CPU, protegiendo a los invitados del hipervisor y de otro software privilegiado, y la atestación es compatible mediante el servicio Quote Generation Service.

Designate, el servicio DNS, añadió soporte para registros TLSA, definidos en RFC 6698, que se utilizan para el anclaje de certificados DANE, y obtuvo herramientas de preparación para criptografía poscuántica, incluido un modo de verificación configurable que puede bloquear el inicio del servicio ante algoritmos de certificado vulnerables a la computación cuántica o versiones TLS obsoletas. Designate también corrigió OSSA‑2026‑034, una vulnerabilidad de elusión de propiedad de zona entre inquilinos que permitía a un inquilino crear una subzona, superzona o duplicado de la zona de otro inquilino al programarla en un pool diferente, habilitando el secuestro de tráfico DNS y denegación de servicio. Las verificaciones de conflictos de propiedad de zona ahora buscan en todos los pools.

Cyborg abordó CVE‑2026‑40213 y CVE‑2026‑40214 limitando las solicitudes a proyectos, exigiendo la validación de tokens de servicio y reforzando el acceso a las API de gestión de hardware, y añadió valores predeterminados de política basados en personas (opt‑in) para los roles de lector, miembro, manager, service y admin, antes de un cambio de valor predeterminado planificado en la versión 2027.1. Glance, el servicio de imágenes, entregó correcciones para CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 y OSSA‑2026‑038.

En todo el proyecto, se han emitido hasta ahora en 2026 un total de 42 Avisos de Seguridad de OpenStack y 13 Notas de Seguridad de OpenStack, según la página de la versión, y el Equipo de Gestión de Vulnerabilidades de OpenStack coordina el manejo responsable y la divulgación de vulnerabilidades de seguridad.

Soporte para IA y cargas de trabajo aceleradas

El controlador libvirt de Nova ahora admite dispositivos mediados gestionados por Cyborg, como GPU virtuales, mediante un nuevo tipo de enlace de solicitud de acelerador MDEV. Las notas de la versión indican que los operadores pueden gestionar el ciclo de vida de vGPU a través de Cyborg como alternativa al soporte nativo de Nova, con un nuevo rasgo OWNER_NOVA que evita colisiones de programación entre dispositivos gestionados por Nova y dispositivos gestionados por Cyborg.

Manila, el servicio de sistemas de archivos compartidos, añadió nuevos controladores de compartición para los sistemas de archivos paralelos Weka y Lustre, ampliando el soporte para cargas de trabajo de sistemas de archivos paralelos de alto rendimiento como IA, aprendizaje automático y HPC. Ironic, el servicio bare‑metal, se coordinó con Nova para mejorar significativamente el rendimiento del seguimiento de recursos en los servicios nova‑compute que ejecutan el controlador Ironic, según los destacados de la versión. El equipo de Ironic informó que manejó más errores de seguridad en el ciclo 2026.2 que en cualquier otro período de seis meses en la historia del proyecto, lo que impulsó una serie de mejoras de estabilidad y endurecimiento, y su interfaz de firmware dedicada es ahora la vía recomendada para gestionar actualizaciones de firmware de dispositivos.

Eficiencia a gran escala

Neutron, el servicio de redes, redujo la huella de memoria en implementaciones de routers HA ML2/OVS en más de 15 veces, según los destacados de la versión, al reemplazar un demonio por un script de shell para la monitorización de cambios de estado de keepalived. Neutron también añadió un plugin de servicio EVPN y una extensión de agente OVN para provisionar anuncios de rutas BGP EVPN Tipo‑5, además de un plugin de servicio VLAN privada que brinda aislamiento de puertos mediante puertos promiscuos, aislados y comunitarios.

La estrategia de Consolidación de Cargas de Trabajo de VM de Watcher ahora considera la capacidad reservada además del uso en vivo al consolidar cargas de trabajo, y dos nuevas acciones amplían su automatización: delete elimina permanentemente una instancia y sus recursos, mientras que shelve recupera la capacidad de cómputo de un host preservando los datos de la instancia. Glance añadió soporte para importación paralela de imágenes, descargas desde repositorios de imágenes preferidos y nuevas API para la limpieza de caché, la poda de caché y la enumeración de nodos en caché. Horizon, el panel del proyecto, habilitó las configuraciones de oslo.policy enforce_scope y enforce_new_defaults por defecto en línea con el modelo RBAC seguro de OpenStack, admite oficialmente Python 3.14 y dejó de admitir Python 3.9 y 3.10.

Ruta de Actualización y Próxima Versión

Hibiscus es una versión no SLURP. El proceso de actualización de nivel omitido, introducido en 2022, brinda a los operadores la opción de actualizar una vez al año en lugar de cada seis meses, manteniendo la cadencia de lanzamientos de seis meses de OpenStack. Los operadores que ejecutan OpenStack 2026.1 Gazpacho, la versión SLURP anterior publicada en abril de 2026, pueden optar por omitir Hibiscus y actualizar directamente a OpenStack 2027.1 Indri, que se espera para marzo de 2027.

Las notas de la versión y el código fuente de Hibiscus están disponibles a través del sitio oficial de lanzamientos de OpenStack. Se ha programado que los líderes de la comunidad de OpenStack discutan las nuevas características y el trabajo de desarrollo en un episodio de OpenInfra Live el 1 de octubre de 2026, a las 14:00 UTC, con panelistas de los proyectos Nova, Neutron, Manila, Ironic, Watcher y Freezer, el Comité Técnico de OpenStack y el Equipo de Gestión de Vulnerabilidades.