FreeBSD 15.1-RELEASE: novedades

El Proyecto FreeBSD lanzó la versión 15.1-RELEASE, la primera actualización puntual de la serie 15-STABLE. Esta release consolida correcciones de seguridad acumuladas desde la 15.0, y trae mejoras relevantes en ZFS, virtualización, red y soporte de hardware — puntos de interés directo para quienes operan infraestructura híbrida con Proxmox, storage y redes complejas.

A continuación, un resumen de los aspectos destacados técnicos con base en las notas oficiales de lanzamiento.

Seguridad y erratas

Desde la 15.0-RELEASE, el proyecto publicó 28 avisos de seguridad (SA) y 16 erratas (EN). Vale la pena destacar algunos de los más impactantes:

• FreeBSD-SA-26:13.exec — escalamiento de privilegios local vía execve().

• FreeBSD-SA-26:09.pf / 26:14.pf — pf ignorando silenciosamente ciertas reglas, y desbordamiento de pila al procesar paquetes SCTP malformados.

• FreeBSD-SA-26:12.dhclient / 26:15.dhclient — ejecución remota de código y desbordamiento de heap vía opciones DHCP maliciosas.

• FreeBSD-SA-26:08.rpcsec_gss — ejecución remota de código vía validación de paquetes RPCSEC_GSS.

• FreeBSD-SA-26:23.bsdinstall — RCE a través de escaneos de puntos de acceso Wi-Fi durante la instalación.

• FreeBSD-SA-26:18.setcred — desbordamiento de búfer de pila vía setcred(2).

• FreeBSD-SA-26:30.linux — falla en el Linuxulator al ejecutar binarios setugid.

Entre las erratas, se destacan correcciones en el manejador de fallos de página (puesta a cero incorrecta de memoria — corregida dos veces, en enero y abril de 2026), un error de invalidación de TLB en sistemas AMD con INVLPGB, y actualización de OpenSSL a las versiones 3.0.20 y 3.5.6.

Recomendación práctica: antes de planificar una actualización en producción, vale la pena revisar el documento de erratas oficial — cubre problemas descubiertos tardíamente en el ciclo de release.

Userland

Cambios en el empaquetado (pkgbase)

Para quienes usan instalación basada en paquetes del sistema base:

• OpenPAM migró a un paquete propio, FreeBSD-pam. Los sistemas con los sets mínimos lo instalan automáticamente; los demás necesitan instalarlo manualmente para mantener la autenticación PAM funcionando (p. ej.: login, sshd).

• Zstandard (incluida la utilidad zstd) también pasó a ser un paquete separado, FreeBSD-zstd.

• Los targets installworld e installkernel ahora están bloqueados en sistemas instalados vía paquetes, para evitar inconsistencia en la base de datos de paquetes. Quien haga upgrade vía source necesita primero desregistrar los paquetes base (freebsd-base(7)).

Configuración y shell por defecto

El shell por defecto del usuario root y del usuario freebsd en las imágenes de release cambió de csh a sh. Esto es relevante para scripts de aprovisionamiento que asuman csh como predeterminado.

Utilidades

Algunos cambios que afectan la rutina del sysadmin directamente:

• find(1) ganó los predicados -xattr y -xattrname, permitiendo buscar archivos por atributos extendidos (incluso por espacio de nombres, como user: o system:).

• pwd(1) ahora usa -L (lógico) por defecto, siguiendo POSIX — las rutas con componentes . o .. se rechazan en modo lógico.

• bectl(8) ganó la opción -E para crear un entorno de arranque vacío, sin clonar el entorno en ejecución.

• newfs(8) ahora impide el uso simultáneo de journaling GEOM y soft updates, y ganó la opción -u para deshabilitar soft updates/journaling en UFS2.

• zfs clone ganó la opción -u, evitando el montaje automático de datasets recién clonados — útil en scripts.

• cron(8) pasó a implementar el ciclo completo de sesión PAM para trabajos de usuario.

Software de terceros (contrib)

Actualizaciones relevantes de versión:

El soporte de Unicode 17.0.0 añade 4.803 caracteres y 4 nuevos scripts.

Deprecaciones

• El conjunto de utilidades lpr (lpr, lpd, lpc, lpq, lprm, pac, etc.) ha sido deprecado y puede eliminarse en FreeBSD 16.0. Alternativas recomendadas: print/cups o sysutils/LPRng.

• bsdlabel(8) y fdisk(8) están programados para su eliminación en 16.0 — se recomienda migrar a gpart(8).

Nube

Para entornos en la nube, algunos puntos relevantes:

• Las imágenes Oracle Cloud Infrastructure (OCI) dejaron de construirse; las últimas imágenes oficiales son de la 15.0-RELEASE.

• El paquete pkg(7) ahora viene preinstalado en imágenes VM/cloud con sistema base empaquetado, evitando la instalación manual.

• En instancias EC2 Graviton (arm64), las interrupciones de E/S del driver ena(4) ahora se distribuyen entre CPUs en lugar de concentrarse en la CPU 0 — ganancia significativa de rendimiento de red.

• Las imágenes cloud pasan a contar con un actualizador automático de paquetes en el primer arranque.

• Atención para quienes usan AMIs EC2 "small": firstboot_pkgs ya no se ejecuta por defecto; si usa firstboot_pkgs_list, es necesario también definir firstboot_pkgs_enable="YES".

Kernel

• Nuevo marco de selección de planificador en tiempo de arranque vía tunable. La configuración GENERIC de amd64 ahora incluye tanto SCHED_ULE como SCHED_4BSD, seleccionables vía sysctl kern.sched.

• La configuración MINIMAL pasó a incluir el driver virtio_scsi, permitiendo arrancar en VMs QEMU/KVM.

• Nuevas syscalls: pdwait(2) (espera en descriptores de proceso) y pdrfork(2) (creación de proceso con herencia de recursos determinista).

• Los sysctls heredados de ZFS (como vfs.zfs.min_auto_ashift) ahora emiten avisos de deprecación — el sustituto es vfs.zfs.vdev.min_auto_ashift. Vale la pena revisar scripts de automatización que dependan de los nombres antiguos.

Almacenamiento y ZFS

Para entornos con cargas pesadas de almacenamiento, esta release trae ganancias específicas:

• Los tiempos mínimos de scrub y resilver de ZFS se redujeron de valores de varios segundos a subsegundos, permitiendo ciclos de grupos de transacciones más rápidos en almacenamiento moderno — mejora directa del rendimiento de escritura bajo carga pesada.

• Nuevo tunable zfs_arc_evict_batches_limit, que reduce la contención de bloqueos y puede aumentar significativamente el rendimiento de desalojo del ARC en ciertas cargas.

• zpool prefetch ahora soporta metadatos de BRT (Tabla de Referencia de Bloques), mejorando el rendimiento en operaciones de clonación de bloques.

• zdb(8) ganó la opción -O para copiar archivos directamente por ID de objeto.

NFS

• El cliente NFS ahora trata correctamente los sistemas de archivos insensibles a mayúsculas (como msdosfs) cuando se exportan vía NFS, evitando falsos aciertos de caché.

• El arranque sin disco vía NFSv4 ahora soporta nfsuserd(8) para mapeo de nombres/IDs, con requisitos específicos en loader.conf.

• Soporte experimental para borrador de ACLs POSIX como extensión a NFSv4.2 (sin cambios visibles aún, pero requiere recompilación de nfscommon.ko, nfscl.ko y nfsd.ko después de la actualización).

• iSCSI: la coincidencia de TargetName en el inicio de sesión volvió a ser insensible a mayúsculas, restaurando la conformidad con RFC 3722.

Red

• ipfw(8) ganó soporte para búsquedas de IP enmascarados en tablas, permitiendo prefijos no contiguos y reglas de firewall más eficientes en CPU.

• Los sockets divert ahora aceptan paquetes IPv6, eliminando la antigua limitación a IPv4.

• Soporte para generación de direcciones IPv6 estables conforme a RFC 7217, mediante la nueva opción stableaddr de ifconfig (deshabilitado por defecto).

⚠️ Atención en actualizaciones de bridge/epair: la dirección MAC estable generada para if_bridge(4), if_epair(4) e interfaces similares cambia a partir de la 15.0 debido a una falla crítica en la implementación anterior que causaba colisiones. Si depende del MAC anterior (por ejemplo, para concesiones DHCP), es necesario fijarlo manualmente mediante ifconfig_bridgeN="… ether aa:bb:cc:dd:ee:ff" en rc.conf.

Virtualización

Para entornos que ejecutan bhyve o jaulas con passthrough:

• Nuevo ajuste de jaula allow.vmm_ppt para controlar el acceso a PCI passthrough en jaulas bhyve(8) — ahora requiere configuración explícita, reemplazando la restricción genérica anterior.

• Soporte para socket de dominio UNIX en el framebuffer remoto de bhyve, posibilitando consola gráfica para instancias bhyve en jaulas sin red.

• amd64 ganó soporte para LASS (Separación de Espacio de Direcciones Lineales), función de seguridad que aísla los espacios de direcciones del kernel/usuario.

• Soporte para Extended Destination ID, habilitando hasta 32.768 APIC IDs sin remapeo de interrupciones — relevante para instancias EC2 de gran tamaño como r8i.96xlarge.

Dispositivos y controladores

• ena(4) (controlador de red para EC2) actualizado a v2.8.3, con corrección en la ruta de recepción de jumbograms que puede resultar en una ganancia de 10x o más en el rendimiento de red.

• ice(4) ganó soporte para los adaptadores Intel E835, incluyendo seguridad SPDM y capacidades RDMA en enlaces de 100/200 Gbps.

• smartpqi actualizado, con soporte para nuevos controladores y aumento del límite de búfer de E/S en ioctls de passthrough (de 16 a 32 bits).

• iwx(4) ahora forma parte de la configuración predeterminada de compilación del kernel, trayendo soporte para Wi-Fi 6E/7 (Intel AX210/AX211/AX411).

Controladores deprecados/eliminados

• hifn(4) y safe(4) programados para su eliminación en 16.0.

• agp(4) y fdc(4) (y utilidades de disquete) también programados para su eliminación en 16.0 — la fecha se pospuso en relación con la planificación anterior.

Consideraciones para la actualización

Antes de planificar una migración de producción a la 15.1-RELEASE, vale la pena revisar especialmente:

1. Sysctls y configuraciones ZFS heredadas — si hay automatización que dependa de nombres antiguos (vfs.zfs.min_auto_ashift), actualícela antes de que sean eliminados.

2. Direcciones MAC de bridges/epair — si hay dependencia de MAC fijo (DHCP, ACLs de switch), trátelo explícitamente en rc.conf antes de la actualización.

3. Paquetes pkgbase separados (PAM, Zstandard) — confirme que los paquetes correctos estén instalados si el sistema no usa los sets mínimos.

4. Módulos NFS recompilados — después de actualizar, nfscommon.ko, nfscl.ko y nfsd.ko necesitan reconstruirse desde el código fuente debido a cambios internos de KAPI.

5. Erratas y avisos de seguridad acumulados — con 28 SAs desde la 15.0, vale la pena revisar cuáles ya han sido mitigados en los entornos actuales antes de la actualización directa.

Fuente

Contenido basado en las Notas de lanzamiento oficiales de FreeBSD 15.1-RELEASE, publicadas por The FreeBSD Project.