OpenStack 2026.2 Hibiscus adiciona Computação Confidencial e suporte a vGPU

A comunidade OpenStack lançou OpenStack 2026.2 (Hibiscus) em 30 de setembro de 2026, a 34ª versão do software de infraestrutura de nuvem de código aberto, adicionando suporte a computação confidencial para plataformas AMD e Intel, novas opções de gerenciamento para cargas de trabalho aceleradas por GPU e melhorias de eficiência para implantações em larga escala.

Cerca de 600 contribuidores colaboraram durante o ciclo de desenvolvimento de seis meses do Hibiscus, um aumento de 21 % em relação ao OpenStack 2026.1 Gazpacho, e entregaram 11.500 alterações de código, um aumento de 28 % de versão para versão, segundo o projeto. No mesmo ciclo, o sistema de integração contínua OpenDev Zuul executou aproximadamente 1,6 milhões de tarefas para compilar, testar e publicar software em todo o ecossistema OpenStack; nos últimos cinco anos, o Zuul executou mais de 14,2 milhões de tarefas apoiando o desenvolvimento do OpenStack.

Computação Confidencial e Segurança

A computação confidencial é uma área‑chave de investimento nesta versão, segundo o anúncio. Os destaques de lançamento por projeto, relatados diretamente pelas equipes dos projetos, afirmam que o Nova agora pode iniciar instâncias com criptografia de memória AMD SEV‑SNP, a terceira geração da Secure Encrypted Virtualization da AMD. As notas de lançamento descrevem o SEV‑SNP como fornecendo proteção de integridade mais forte que o SEV‑ES e permitindo a atestação da plataforma, o que permite que os proprietários das máquinas virtuais verifiquem a integridade de suas VMs por meio de relatórios de atestação assinados. Os operadores solicitam instâncias SEV‑SNP com o hw:mem_encryption_model=amd-sev-snp especificação extra de flavor ou a propriedade de imagem equivalente.

O Nova também agora oferece suporte a Intel Trust Domain Extensions (TDX) para computação confidencial em plataformas Intel, especificamente processadores Xeon Scalable de 5ª geração ou posteriores. De acordo com as notas de lançamento, o TDX fornece criptografia de memória aplicada por hardware e isolamento do estado da CPU, protegendo as máquinas virtuais do hipervisor e de outros softwares privilegiados, e a atestação é suportada por meio do Quote Generation Service.

Designate, o serviço DNS, adicionou suporte a registros TLSA, definidos na RFC 6698, que são usados para fixação de certificados DANE, e ganhou ferramentas de prontidão para criptografia pós‑quântica, incluindo um modo de verificação configurável que pode bloquear a inicialização do serviço em algoritmos de certificado vulneráveis a ataques quânticos ou versões TLS desatualizadas. O Designate também corrigiu a OSSA‑2026‑034, uma vulnerabilidade de contorno de propriedade de zona entre inquilinos que permitia a um inquilino criar uma subzona, superzona ou duplicata da zona de outro inquilino ao agendá‑la para um pool diferente, possibilitando sequestro de tráfego DNS e negação de serviço. As verificações de conflitos de propriedade de zona agora pesquisam em todos os pools.

Cyborg tratou as CVE‑2026‑40213 e CVE‑2026‑40214 ao limitar as solicitações a projetos, exigir validação de token de serviço e restringir o acesso às APIs de gerenciamento de hardware, e adicionou padrões de política baseados em persona opt‑in para os papéis de leitor, membro, gerente, serviço e administrador, antecipando uma mudança de padrão planejada para a versão 2027.1. Glance, o serviço de imagens, enviou correções para CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 e OSSA‑2026‑038.

Em todo o projeto, 42 Avisos de Segurança OpenStack e 13 Notas de Segurança OpenStack foram emitidos até agora em 2026, segundo a página de lançamento, e a Equipe de Gerenciamento de Vulnerabilidades OpenStack coordena o tratamento responsável e a divulgação das vulnerabilidades de segurança.

Suporte a IA e cargas de trabalho aceleradas

O driver libvirt do Nova agora oferece suporte a dispositivos mediados gerenciados pelo Cyborg, como GPUs virtuais, por meio de um novo tipo de vínculo de solicitação de acelerador MDEV. As notas de lançamento afirmam que os operadores podem gerenciar o ciclo de vida do vGPU através do Cyborg como alternativa ao suporte nativo do Nova, com um novo traço OWNER_NOVA que impede colisões de agendamento entre dispositivos gerenciados pelo Nova e pelo Cyborg.

Manila, o serviço de sistema de arquivos compartilhado, adicionou novos drivers de compartilhamento para os sistemas de arquivos paralelos Weka e Lustre, ampliando o suporte a cargas de trabalho de sistemas de arquivos paralelos de alto desempenho, como IA, aprendizado de máquina e HPC. Ironic, o serviço bare‑metal, coordenou com o Nova para melhorar significativamente o desempenho do rastreamento de recursos nos serviços nova‑compute que executam o driver Ironic, de acordo com os destaques do lançamento. A equipe do Ironic relatou que lidou com mais bugs de segurança no ciclo 2026.2 do que em qualquer outro período de seis meses na história do projeto, o que motivou uma série de melhorias de estabilidade e endurecimento, e sua interface de firmware dedicada agora é o caminho recomendado para gerenciar atualizações de firmware de dispositivos.

Eficiência em escala

Neutron, o serviço de rede, reduziu a pegada de memória em implantações de roteadores HA ML2/OVS em mais de 15 vezes, segundo os destaques do lançamento, ao substituir um daemon por um script shell para monitoramento de mudanças de estado do keepalived. O Neutron também adicionou um plugin de serviço EVPN e uma extensão de agente OVN para provisionar anúncios de rotas BGP EVPN Tipo‑5, além de um plugin de serviço Private VLAN que fornece isolamento de portas por meio de portas promíscuas, isoladas e comunitárias.

A estratégia de Consolidação de Carga de Trabalho de VM do Watcher agora considera a capacidade reservada além do uso ao vivo ao consolidar cargas de trabalho, e duas novas ações ampliam sua automação: delete remove permanentemente uma instância e seus recursos, enquanto shelve recupera a capacidade de computação de um host preservando os dados da instância. Glance adicionou suporte a importação paralela de imagens, downloads de lojas preferenciais e novas APIs para limpeza de cache, poda de cache e listagem de nós em cache. Horizon, o painel do projeto, habilitou as configurações enforcescope e enforcenew_defaults do oslo.policy por padrão, em conformidade com o modelo RBAC seguro do OpenStack, suporta oficialmente Python 3.14 e descontinuou o suporte ao Python 3.9 e 3.10.

Caminho de Atualização e Próxima Versão

Hibiscus é uma versão não‑SLURP. O Processo de Atualização de Nível de Pulo, introduzido em 2022, oferece aos operadores a opção de atualizar uma vez por ano em vez de a cada seis meses, mantendo a cadência de lançamentos semestrais do OpenStack. Operadores que utilizam o OpenStack 2026.1 Gazpacho, a versão SLURP anterior lançada em abril de 2026, podem optar por pular o Hibiscus e atualizar diretamente para o OpenStack 2027.1 Indri, previsto para março de 2027.

Notas de lançamento e código‑fonte do Hibiscus estão disponíveis no site oficial de lançamentos do OpenStack. Líderes da comunidade OpenStack estão programados para discutir os novos recursos e o trabalho de desenvolvimento em um episódio do OpenInfra Live em 1 de outubro de 2026, às 14:00 UTC, com painelistas dos projetos Nova, Neutron, Manila, Ironic, Watcher e Freezer, do Comitê Técnico do OpenStack e da Equipe de Gerenciamento de Vulnerabilidades.