Linus Torvalds etiquetó el 9 de agosto la séptima candidata de Linux 7.2 y la describió como la 'nueva normalidad' de correcciones impulsadas por herramientas de IA; Greg Kroah-Hartman y Sasha Levin publicaron el mismo día cuatro versiones estables del kernel; SUSE, Fedora y Debian corrigieron fallas en WebKit2GTK3, goaccess y paquetes de soporte extendido; RefluXFS cumple 25 días sin parche en cuatro versiones de Ubuntu mientras Copy Fail sigue generando boletines de CERT-EU 131 días después de su corrección; y Debian lleva 17 días sin fecha de voto sobre el uso de IA en sus contribuciones.
Linus Torvalds etiquetó el 9 de agosto de 2026 la séptima candidata de la serie de desarrollo Linux 7.2, según el repositorio público del kernel en GitHub. En el anuncio de esa candidata, Torvalds escribió que se trata de "la nueva normalidad, con muchas correcciones, varias de ellas producto de la revisión de distintas herramientas de IA", según recogió The Register. La descripción retoma una idea que el propio Torvalds había planteado el 2 de agosto, al anunciar la sexta candidata: que se trataba de la rc6 más grande por número de cambios "en años, al menos por cantidad de commits", de acuerdo con la cobertura de Neowin y Slashdot sobre ambos anuncios. La declaración de Torvalds llega en la misma semana en que el kernel, por otra vía, restringió el papel de la IA en su proceso: desde el 4 de agosto, la documentación oficial del proyecto prohíbe que los agentes de inteligencia artificial firmen código con la etiqueta Signed-off-by, reservada para el humano que certifica el origen legal de una contribución, según reportó esta sección el 9 de agosto. Rust adoptó el 5 de agosto una política similar que exige un revisor humano asignado antes de aceptar cualquier código generado por IA. La postura que emerge de ambos movimientos es consistente: la IA puede acelerar la revisión y la caza de errores -el propio volumen de la rc7 lo demuestra-, pero ningún proyecto le concede autoría ni responsabilidad legal sobre el resultado. Ni Torvalds ni los mantenedores del árbol estable fijaron, al cierre de esta edición, una métrica pública para medir cuánto del volumen de cada candidata proviene de herramientas de IA frente a revisión humana tradicional. Costa Rica no tiene desarrolladores identificados en el círculo central del kernel, pero el mismo dilema -cuánto delegar en un asistente automatizado sin perder trazabilidad humana- ya alcanza a las empresas ticas de desarrollo de software y outsourcing que integran copilotos de código en sus flujos de trabajo diarios.
cat /feed/kernelmantenimiento.md
Greg Kroah-Hartman y Sasha Levin etiquetaron el 9 de agosto las versiones 7.1.8, 6.18.44, 6.12.103 y 6.6.151 del kernel Linux, con correcciones rutinarias de seguridad y estabilidad.
> > git tag -l 'v7.1.8' 'v6.18.44' 'v6.12.103' 'v6.6.151'
> > v7.1.8 | v6.18.44 | v6.12.103 | v6.6.151
> > fecha: 2026-08-09 | mantenedores: Greg Kroah-Hartman, Sasha Levin
> Greg Kroah-Hartman y Sasha Levin, mantenedores del árbol estable del kernel Linux, etiquetaron el 9 de agosto de 2026 cuatro versiones de mantenimiento -7.1.8, 6.18.44, 6.12.103 y 6.6.151-, según el repositorio de referencia en GitHub, con todas las etiquetas firmadas digitalmente con la llave GPG de Kroah-Hartman. Dos días antes, el 7 de agosto, el mismo equipo había publicado otra tanda -6.12.102, 6.6.150, 6.1.182, 5.15.215 y 5.10.264-, lo que confirma dos rondas de parches estables en la última semana. LinuxCompatible describió el contenido de la tanda del 9 de agosto como cientos de correcciones específicas de errores y de seguridad distribuidas en la capa de bloques, la pila de red y los sistemas de archivos principales, sin funciones nuevas.
> > por qué importa: estas versiones de mantenimiento no compiten por titulares porque no traen novedades visibles; son, sin embargo, el mecanismo real por el que la mayoría de los parches de seguridad del kernel llega a producción. Una falla corregida en la rama principal de desarrollo no protege a nadie hasta que baja a una versión estable como estas y, después, hasta que la distribución del usuario final la empaqueta y la despliega -el mismo cuello de botella que esta sección documenta esta semana con RefluXFS.
> > qué sigue: el kernel no fijó cuándo publicará la siguiente tanda de versiones estables, aunque el ritmo reciente sugiere una nueva ronda antes de mediados de agosto. Costa Rica no participa en el mantenimiento de estas ramas, pero las universidades públicas, la banca y los proveedores de hosting ticos que corren Ubuntu, Debian o distribuciones derivadas de RHEL dependen de este flujo constante para recibir, con retraso variable, los parches que el kernel principal ya cerró.
SUSE, Fedora y Debian publicaron, en la semana del 3 al 9 de agosto de 2026, parches para tres fallas de seguridad distintas en sus repositorios de paquetes, según el resumen semanal de LinuxSecurity recogido también por LinuxCompatible. SUSE marcó como crítica una falla en WebKit2GTK3, el motor de renderizado web que usan navegadores ligeros y componentes de escritorio en GNOME; Fedora corrigió un desbordamiento de memoria dinámica (heap overflow) en goaccess, la herramienta de análisis de registros de servidores web, y de paso redujo su consumo de memoria; y Debian aplicó actualizaciones de soporte extendido (ELTS) a paquetes que incluyen el kernel 5.10 y OpenJDK 8, ambos ya fuera del ciclo de soporte estándar de la distribución. Ni goaccess ni WebKit2GTK3 suelen aparecer en coberturas de seguridad generalistas, pero ambos son dependencias comunes en infraestructura de bajo perfil: goaccess corre en paneles de análisis de tráfico de servidores web pequeños y medianos, y WebKitGTK sostiene el navegador Web (Epiphany) de GNOME además de las vistas previas HTML de varias aplicaciones de escritorio. El caso de Debian ELTS ilustra una capa distinta del ecosistema: paquetes ya retirados del soporte estándar siguen recibiendo parches de pago para instalaciones que no pueden actualizar de inmediato, un servicio que sostiene en la práctica buena parte de la infraestructura heredada del sector público y financiero. Ninguna de las tres distribuciones fijó, al cierre de esta edición, una fecha para retirar el soporte extendido de kernel 5.10 u OpenJDK 8. Costa Rica no tiene cifras propias de adopción de estas versiones, pero las instituciones públicas y la banca tica que aún operan sobre Debian con soporte extendido -una práctica común cuando migrar un sistema crítico toma años de planificación- dependen de este tipo de parches ELTS para mantenerse cubiertas mientras preparan la actualización.
El Pisuika confirmó, al consultar directamente ubuntu.com el 10 de agosto de 2026, que el rastreador de seguridad de Canonical para CVE-2026-64600 (RefluXFS) no registra ningún cambio desde el 6 de agosto: Ubuntu 26.04 LTS sigue siendo la única versión marcada como "work in progress", mientras 24.04, 22.04, 20.04 y 18.04 permanecen como "vulnerable", sin fecha de parche, según la misma página. La prioridad se mantiene en "Medium" desde el 23 de julio -18 días- y Canonical no publicó ningún aviso de seguridad nuevo desde el USN-8620-4 del 31 de julio: diez días corridos sin un USN nuevo, de acuerdo con el listado oficial de avisos de Ubuntu. El commit 2f4acd0, que corrigió la falla en el kernel Linux oficial, cumple 25 días fusionado en el árbol principal desde el 16 de julio. El caso no es aislado. CVE-2026-31431 -la falla de escalamiento de privilegios en la interfaz criptográfica algif_aead del kernel Linux, conocida como Copy Fail, con CVSS 7,8- tuvo su parche fusionado en el árbol principal del kernel el 1 de abril de 2026, semanas antes de que se le asignara el CVE el 22 de abril y de que la falla se hiciera pública el 29 de abril, según el registro oficial del programa CVE y el blog de seguridad de Microsoft. Meses después, tanto el CERT-EU como el Canadian Centre for Cyber Security seguían publicando actualizaciones de sus alertas sobre esta falla, señal de que la corrección en el árbol del kernel no se había traducido, para agosto, en parches disponibles de manera uniforme en todas las distribuciones. El patrón contradice la lectura de que un fallo "ya corregido en el kernel" está resuelto: la distancia entre el commit ascendente y el paquete que llega a producción se mide en semanas en el mejor caso -RefluXFS, 25 días y contando- y en meses en el peor -Copy Fail, 131 días después de su parche original. Canonical no ha confirmado cuándo el "trabajo en curso" de 26.04 se traducirá en un parche publicado para RefluXFS, ni el CERT-EU o el Canadian Centre for Cyber Security fijaron una fecha límite para que los proveedores completen sus actualizaciones de Copy Fail. Proveedores de hosting y entidades públicas costarricenses que operan volúmenes XFS con reflink habilitado -la misma advertencia que esta sección repite desde el 30 de julio- siguen sin una versión oficial de Ubuntu a la cual migrar, y las instituciones ticas que usan la interfaz criptográfica del kernel deben verificar de forma manual si su distribución ya incorporó el parche de Copy Fail, en lugar de asumir que el aviso original de abril cerró el caso.
El proyecto Debian discute desde el 24 de julio de 2026 cinco propuestas de resolución general sobre el uso de modelos de lenguaje en sus contribuciones, que van de una prohibición total -impulsada por el desarrollador Matthias Geiger- hasta marcos permisivos con divulgación obligatoria, según reportaron LinuxCompatible y el medio alemán Heise. Las fuentes discrepan sobre el estado actual del proceso: LinuxCompatible y Heise describen la votación todavía en fase de discusión, sin fecha de cierre confirmada; los sitios byteiota y AI Governance Institute, en cambio, publicaron esta semana coberturas que dan por aprobada una prohibición de contribuciones asistidas por IA. Debian no emitió, al cierre de esta edición, un comunicado oficial en su lista de anuncios que confirme cuál de las dos versiones es la correcta. Más allá del resultado final, la comparación con sus proyectos hermanos expone tres velocidades distintas para el mismo problema. El kernel Linux, con una autoridad técnica única en la práctica -Linus Torvalds- y un proceso de documentación ágil, cerró su regla en cuestión de semanas: desde el 4 de agosto prohíbe que los agentes de IA firmen código con la etiqueta Signed-off-by. Rust, con equipos temáticos independientes, aprobó desde el 5 de agosto una política acotada a un repositorio específico que exige revisor humano asignado, sin que represente, según su propio anuncio, una postura de todo el proyecto. Debian, que decide por voto general de sus desarrolladores registrados, lleva 17 días en fase de discusión sin que el mecanismo formal de votación se active según sus canales oficiales -una diferencia de ritmo que ilustra el costo de tiempo de una gobernanza más democrática frente a una jerárquica. Ninguno de los tres proyectos fijó una revisión conjunta de sus reglas, y Debian no confirmó cuándo pasará de la discusión a la votación formal. Costa Rica no tiene desarrolladores identificados en el liderazgo de ninguno de los tres proyectos, pero la comunidad tica que empaqueta software para Debian y sus derivadas -Ubuntu incluida- y los equipos locales que contribuyen a Rust en proyectos de fintech deberán ajustarse a reglas distintas según el repositorio al que envíen una contribución asistida por IA.
— El proyecto Debian discute desde el 24 de julio cinco propuestas sobre inteligencia artificial en sus contribuciones, mientras el kernel Linux y Rust ya aplican reglas activas sobre el mismo tema.
El kernel Linux ya tiene regla sobre IA, Debian sigue en debate, Ubuntu no cierra RefluXFS y el AUR de Arch Linux retoma su ritmo tras semanas de malware: así llega al fin de semana 32 de 2026 el software libre.
La semana del 3 al 9 de agosto de 2026 dejó tres frentes abiertos en el ecosistema de código abierto que esta sección siguió día a día. En gobernanza de inteligencia artificial, el kernel Linux prohibió desde el 4 de agosto que los agentes de IA firmen código con la etiqueta Signed-off-by, Rust adoptó desde el 5 de agosto una política que exige revisor humano, y Debian permanece en un estado que los medios describen de forma contradictoria entre discusión abierta y una votación cuyo resultado no está confirmado de manera oficial. En parches de seguridad, RefluXFS (CVE-2026-64600) cumple 25 días sin llegar a las cuatro versiones LTS activas de Ubuntu, y Copy Fail (CVE-2026-31431) sigue generando boletines de CERT-EU y del Canadian Centre for Cyber Security 131 días después de su parche original. En cadena de suministro, Arch Linux dio por controlado, según Phoronix, el ataque que llegó a comprometer más de 1.500 paquetes del AUR, aunque la distribución no fijó todavía una fecha para reactivar las subidas y adopciones suspendidas desde el 30 de julio y el 1 de agosto. Los tres frentes comparten un mismo patrón estructural: el software libre depende de mantenedores voluntarios y de mecanismos de gobernanza dispares -desde la autoridad técnica única de Torvalds hasta el voto general de Debian- para responder a la vez a una herramienta nueva, la IA generativa, y a amenazas ya conocidas, como las cadenas de suministro comprometidas y los parches que tardan semanas o meses en propagarse. Ninguno de los tres frentes se resolvió esta semana; los tres siguen abiertos hacia la semana que entra. Esta sección seguirá las cinco propuestas de Debian hasta que el proyecto confirme una fecha de votación, el rastreador de Canonical hasta que RefluXFS reciba parche en sus cuatro versiones LTS pendientes, y el AUR de Arch Linux hasta que la distribución reactive las subidas suspendidas. Costa Rica no participa directamente en ninguno de los tres procesos, pero las instituciones y empresas ticas que usan Debian, Ubuntu y Arch Linux en producción -bancos, universidades públicas y desarrolladores individuales, respectivamente- son quienes finalmente reciben el resultado de cada uno.