Se ha lanzado OpenBSD 8.0, la versión 61 del proyecto, que incluye mejoras de seguridad en el kernel, servicios de red, cortafuegos y herramientas de actualización. Esta versión, publicada el 20 de octubre de 2026, integra OpenSSH 10.6 y LibreSSL 4.4.0, implementando controles más estrictos para datos no confiables y soporte experimental para firmas SSH post-cuánticas. 

OpenBSD 8.0 ha sido lanzado con correcciones de seguridad en su núcleo, servicios de red, firewall y herramientas de actualización, junto con el soporte experimental para firmas SSH post-cuánticas.

Lanzado el 20 de octubre de 2026, el lanzamiento número 61 del proyecto incluye OpenSSH 10.6 y LibreSSL 4.4.0, aportando comprobaciones más estrictas para datos no confiables y cambios en el manejo de conexiones seguras.

Las notas de lanzamiento oficiales detallan cambios que abordan errores de memoria, manejo de archivos inseguro y brechas en el aislamiento de procesos. Para ti, como administrador, la actualización va más allá de la seguridad del inicio de sesión remoto, cubriendo servidores web, entrega de correo, servicios DHCP, máquinas virtuales e instalación de firmware.

OpenSSH 10.6 incluye soporte experimental para el esquema de firma compuesto mldsa44-ed25519, que combina ML-DSA 44 con Ed25519.

El lanzamiento también cambia el identificador del esquema de su nombre específico de OpenSSH a un punto de código asignado por la IANA, un cambio que debes revisar si estás probando implementaciones anteriores.

Lanzamiento de OpenBSD 8.0

Este trabajo se refiere a las firmas digitales y no a la introducción inicial del intercambio de claves post-cuántico. Como se cubrió en los cambios de seguridad de OpenSSH 10.0, aquel lanzamiento anterior estableció el acuerdo de claves híbrido ML-KEM y X25519 como predeterminado.

Por lo tanto, OpenBSD 8.0 se basa en la protección de conexiones resistente a la cuántica ya existente en lugar de introducirla. El endurecimiento de SSH también incluye la desactivación del codificador de diccionario LZ77 para evitar una posible fuga de canal lateral.

Los desarrolladores corrigieron la aplicación de los ajustes de ChannelTimeout y RekeyLimit, y aseguraron que la opción “restrict” de authorized_keys se aplique al reenvío de túneles. Ahora, DisableForwarding anula PermitTunnel, reforzando el control sobre las funciones de acceso remoto.

Correcciones adicionales abordan errores de memoria del cliente, la expansión excesiva de datos comprimidos y la validación del estado transmitido entre los procesos del servidor SSH antes y después de la autenticación. Algunas rutas de análisis y verificación de claves también fueron eliminadas del código expuesto antes del inicio de sesión.

En sistemas amd64, OpenBSD ahora coloca el mapa de memoria directa del núcleo en una ubicación aleatoria. El lanzamiento también corrige fugas de información de la pila del núcleo y elimina una vulnerabilidad de lectura y escritura de memoria del núcleo sin privilegios que afectaba al pipeline de datos m88k 88100.

Estos cambios extienden el enfoque de seguridad descrito en la cobertura del lanzamiento de OpenBSD 7.7. La versión 8.0 añade comprobaciones de socket pledge más estrictas y limita el acceso a archivos para las herramientas de páginas de manual a través de unveil.

El firewall PF recibe correcciones para lecturas fuera de límites, carreras de contadores de conexión y paquetes de reinicio manipulados que podrían eliminar incorrectamente el estado TCP. Mientras tanto, httpd rechaza el encuadre de solicitudes ambiguas y las cabeceras plegadas obsoletas.

Relayd rechaza las cabeceras Content-Length duplicadas y elimina Content-Length de los mensajes fragmentados (chunked), reduciendo las diferencias en cómo se manejan las solicitudes HTTP.

Las actualizaciones de firmware ahora verifican las firmas en los archivos locales SHA256.sig, restringen los tamaños de descarga y omiten las entradas de archivo fuera de las ubicaciones esperadas. La instalación de paquetes ya no busca en el directorio actual por defecto. Al mismo tiempo, pax bloquea los archivos maliciosos que intentan extraer archivos fuera del directorio de trabajo.

LibreSSL 4.4.0 establece X25519MLKEM768 como el grupo TLS 1.3 preferido en libtls. También corrige comprobaciones de certificados, una omisión de autorización del respondedor OCSP y el almacenamiento en búfer excesivo del saludo DTLS.

Debes revisar los cambios de compatibilidad, consultar la documentación de actualización enlazada y comprobar las erratas del lanzamiento antes de desplegar la actualización en tus sistemas de producción.