OpenStack 2026.2 Hibiscus adiciona computação confidencial e suporte a vGPU

A comunidade OpenStack lançou OpenStack 2026.2 (Hibiscus) em 30 de setembro de 2026, a 34ª versão do software de infraestrutura de nuvem de código aberto, adicionando suporte à computação confidencial para plataformas AMD e Intel, novas opções de gerenciamento para cargas de trabalho aceleradas por GPU e melhorias de eficiência para implantações em grande escala.

Cerca de 600 contribuidores colaboraram durante o ciclo de desenvolvimento de seis meses do Hibiscus, um aumento de 21 % em relação ao OpenStack 2026.1 Gazpacho, e entregaram 11.500 alterações de código, um crescimento de 28 % de versão para versão, segundo o projeto. No mesmo período, o sistema de integração contínua OpenDev Zuul executou aproximadamente 1,6 milhão de jobs para compilar, testar e publicar software em todo o ecossistema OpenStack; nos últimos cinco anos, o Zuul já executou mais de 14,2 milhões de jobs apoiando o desenvolvimento do OpenStack.

Computação Confidencial e Segurança

Computação confidencial é uma área chave de investimento nesta versão, segundo o anúncio. Os destaques de lançamento por projeto, relatados diretamente pelas equipes dos projetos, afirmam que o Nova agora pode iniciar instâncias com criptografia de memória AMD SEV‑SNP, a terceira geração da Secure Encrypted Virtualization da AMD. As notas de lançamento descrevem o SEV‑SNP como fornecendo proteção de integridade mais forte que o SEV‑ES e permitindo atestação de plataforma, o que permite que os proprietários das máquinas virtuais verifiquem a integridade de suas VMs por meio de relatórios de atestação assinados. Os operadores solicitam instâncias SEV‑SNP com a especificação extra de flavor hw:mem_encryption_model=amd-sev-snp ou a propriedade de imagem equivalente.

O Nova também passou a suportar Intel Trust Domain Extensions (TDX) para computação confidencial em plataformas Intel, especificamente processadores Xeon Scalable de 5ª geração ou posteriores. Segundo as notas de lançamento, o TDX oferece criptografia de memória imposta por hardware e isolamento do estado da CPU, protegendo as máquinas virtuais do hipervisor e de outros softwares privilegiados, e a atestação é suportada por meio do serviço Quote Generation Service.

Designate, o serviço DNS, adicionou suporte a registros TLSA, definidos na RFC 6698, que são usados para o pinning de certificados DANE, e recebeu ferramentas de prontidão para criptografia pós‑quântica, incluindo um modo de verificação configurável que pode bloquear a inicialização do serviço em algoritmos de certificado vulneráveis a ataques quânticos ou versões TLS desatualizadas. O Designate também corrigiu a OSSA‑2026‑034, uma vulnerabilidade de contorno de propriedade de zona entre inquilinos que permitia a um inquilino criar uma subzona, superzona ou duplicata da zona de outro inquilino ao agendá‑la para um pool diferente, possibilitando sequestro de tráfego DNS e negação de serviço. As verificações de conflito de propriedade de zona agora pesquisam em todos os pools.

O Cyborg tratou as vulnerabilidades CVE‑2026‑40213 e CVE‑2026‑40214 restringindo as solicitações aos projetos, exigindo validação de token de serviço e reforçando o acesso às APIs de gerenciamento de hardware, e adicionou padrões de política baseados em personas opt‑in para os papéis de leitor, membro, gerente, serviço e administrador, antecipando uma mudança de padrão planejada para a versão 2027.1. O Glance, o serviço de imagens, lançou correções para CVE‑2026‑71196, CVE‑2026‑71197, CVE‑2026‑71198 e OSSA‑2026‑038.

Em todo o projeto, 42 Avisos de Segurança OpenStack e 13 Notas de Segurança OpenStack foram emitidos até agora em 2026, segundo a página de lançamento, e a equipe de Gerenciamento de Vulnerabilidades OpenStack coordena o tratamento responsável e a divulgação das vulnerabilidades de segurança.

Suporte a IA e Cargas de Trabalho Aceleradas

O driver libvirt do Nova agora suporta dispositivos mediados gerenciados pelo Cyborg, como GPUs virtuais, por meio de um novo tipo de vínculo de solicitação de acelerador MDEV. As notas de lançamento afirmam que os operadores podem gerenciar o ciclo de vida das vGPU através do Cyborg como alternativa ao suporte nativo do Nova, com um novo traço OWNER_NOVA que impede colisões de agendamento entre dispositivos gerenciados pelo Nova e pelo Cyborg.

Manila, o serviço de sistema de arquivos compartilhado, adicionou novos drivers de compartilhamento para os sistemas de arquivos paralelos Weka e Lustre, ampliando o suporte a cargas de trabalho de sistemas de arquivos paralelos de alto desempenho, como IA, aprendizado de máquina e HPC. Ironic, o serviço bare‑metal, coordenou-se com o Nova para melhorar significativamente o desempenho do rastreamento de recursos nos serviços nova‑compute que executam o driver Ironic, segundo os destaques do lançamento. A equipe do Ironic relatou que tratou mais vulnerabilidades de segurança no ciclo 2026.2 do que em qualquer outro período de seis meses na história do projeto, o que motivou uma série de melhorias de estabilidade e endurecimento, e sua interface de firmware dedicada agora é o caminho recomendado para gerenciar atualizações de firmware de dispositivos.

Eficiência em Escala

Neutron, o serviço de rede, reduziu a pegada de memória em implantações de roteadores HA ML2/OVS em mais de 15 vezes, segundo os destaques do lançamento, ao substituir um daemon por um script shell para monitoramento de mudanças de estado do keepalived. O Neutron também adicionou um plugin de serviço EVPN e uma extensão de agente OVN para provisionar anúncios de rotas BGP EVPN Tipo‑5, além de um plugin de serviço Private VLAN que oferece isolamento de portas por meio de portas promíscuas, isoladas e de comunidade.

A estratégia de Consolidação de Carga de Trabalho de VM do Watcher agora considera a capacidade reservada além do uso em tempo real ao consolidar cargas de trabalho, e duas novas ações ampliam sua automação: delete remove permanentemente uma instância e seus recursos, enquanto shelve recupera a capacidade de computação de um host preservando os dados da instância. O Glance adicionou suporte a importação paralela de imagens, downloads de repositórios de imagens preferenciais e novas APIs para limpeza de cache, poda de cache e listagem de nós em cache. O Horizon, o painel do projeto, habilitou as configurações do oslo.policy enforce_scope e enforce_new_defaults por padrão em conformidade com o modelo RBAC seguro da OpenStack, suporta oficialmente Python 3.14 e descontinuou o suporte ao Python 3.9 e 3.10.

Caminho de Atualização e Próxima Versão

Hibiscus é uma versão não‑SLURP. O Processo de Atualização Skip Level, introduzido em 2022, oferece aos operadores a opção de atualizar uma vez por ano em vez de a cada seis meses, mantendo a cadência de lançamentos semestrais da OpenStack. Operadores que utilizam o OpenStack 2026.1 Gazpacho, a versão SLURP anterior lançada em abril de 2026, podem optar por pular o Hibiscus e atualizar diretamente para o OpenStack 2027.1 Indri, previsto para março de 2027.

As notas de versão e o código‑fonte do Hibiscus estão disponíveis no site oficial de lançamentos da OpenStack. Os líderes da comunidade OpenStack estão programados para discutir os novos recursos e o trabalho de desenvolvimento em um episódio do OpenInfra Live em 1 de outubro de 2026, às 14:00 UTC, com painelistas dos projetos Nova, Neutron, Manila, Ironic, Watcher e Freezer, do Comitê Técnico da OpenStack e da Equipe de Gerenciamento de Vulnerabilidades.