Linux y código abierto 2025–2026: qué pasó y por qué importa

A comienzos de 2026 el debate era casi anecdótico: Linus Torvalds admitió haber usado una herramienta de IA para un visualizador en un proyecto personal. En marzo, Greg Kroah-Hartman describió un cambio brusco: las herramientas de revisión pasaron en unas semanas de novedad poco fiable a fuente de informes de calidad, y los equipos de seguridad de varios proyectos veían la misma oleada a la vez.

En mayo llegó el efecto secundario. Torvalds dijo que la lista de seguridad del kernel era casi inmanejable por informes duplicados, y el kernel 7.1 documentó qué merece tratarse como fallo de seguridad y que los informes asistidos por IA son públicos por defecto. En la misma época Torvalds habló de una relación de amor y odio con la IA y de un ritmo de commits aproximadamente un 20 % superior.

La reacción de las distribuciones fue desigual. GNOME vetó las extensiones generadas con IA, Fedora frenó su escritorio para desarrolladores de IA tras la respuesta de la comunidad y los usuarios de Ubuntu pidieron un interruptor para desactivar sus funciones de IA. En julio, Torvalds respondió a los críticos que Linux no se sumará a los proyectos contrarios a la IA y que quien discrepe puede bifurcar el código.

Entre mayo y junio se encadenó una serie de escaladas de privilegios locales. CopyFail afectaba a prácticamente todas las versiones; Dirty Frag, hallado por Hyunwoo Kim, combina dos fallos de escritura en la caché de páginas y alcanzó a las grandes distribuciones; otro error se debió a un único signo de exclamación mal colocado, y un exploit llamado pedit envenenaba la caché de binarios. La agencia estadounidense CISA, además, incluyó en su catálogo de explotados un fallo de Linux que permite acceso root.

Los repositorios comunitarios fueron el otro frente. Paquetes del AUR de Arch repartieron un infostealer y un rootkit basado en eBPF: primero se habló de más de 400 paquetes y después de al menos 1.579, con Arch admitiendo que su lista no era completa. También se informó del secuestro del espacio de nombres de Red Hat en npm, de un troyano Quasar contra credenciales de desarrolladores y de intrusos vinculados a China que habrían manipulado software de inicio de sesión durante casi una década.

La infraestructura también sufrió: Ubuntu y Canonical estuvieron más de 24 horas fuera de línea por un ataque DDoS en plena crisis de seguridad. En agosto, Debian 13 recibió una actualización del kernel con 68 correcciones, cuando la anterior solo había resuelto una docena.

La industria reaccionó con cifras grandes. Anthropic comunicó que su modelo Mythos señaló 23.000 vulnerabilidades potenciales en más de 1.000 proyectos de código abierto; IBM y Red Hat anunciaron Project Lightwell, de 5 mil millones de dólares y más de 20.000 ingenieros; y la Linux Foundation presentó Akrites, con un equipo de respuesta compartido y un mantenedor de último recurso para paquetes abandonados.

Rust es la otra palanca. Kroah-Hartman sostiene que el lenguaje evita los errores típicos de C, que explican en torno al 60 % de las vulnerabilidades del kernel. Linux 7.0 retiró la etiqueta experimental de Rust, y Debian ya había anunciado que APT dependerá de Rust desde mayo de 2026 para analizar archivos y verificar firmas.

Hay además un problema de sostenibilidad: un grupo de trabajo de la Linux Foundation estudia cómo financiar y gobernar los registros de paquetes, saturados por tráfico automático; Brian Fox, de Sonatype, estima 10 billones de descargas en 2025.

Linux avanzó donde se mide el uso. Lansweeper situó su cuota de escritorio por encima del 6 % con datos de más de 15 millones de equipos, y los datos de Phoronix sobre Steam mostraron un 5,33 % un mes y un 4,52 % al siguiente, frente al 2,27 % de un año antes: más del doble. Wine 11 y su soporte NTSYNC reescriben cómo corren los juegos de Windows, con mejoras de rendimiento notables.

El ecosistema de aplicaciones también se reordena. Mozilla retirará Firefox para Linux de 32 bits en 2026, con la versión 144 como última y ESR 140 de respaldo; GIMP publica su propio paquete Snap, construido desde su canalización de CI en lugar de depender de Snapcrafters; y T2 SDE estrena un escritorio listo para uso diario tras una década centrada en sistemas embebidos y servidores.

En junio la Unión Europea situó el código abierto en el centro de su paquete de soberanía tecnológica: más de un tercio de las 29 páginas trata del tema, con reforma de la contratación pública, el principio de dinero público, código público y el objetivo de depender menos de proveedores de fuera de la UE.

Las leyes de verificación de edad abrieron otro frente: distribuciones como Ubuntu, Fedora y Mint, junto con System76 y la EFF, debatieron cómo cumplirlas, y Colorado enmendó su proyecto para eximir al software libre.

La IA presiona sobre las licencias. Cal[.]com pasó de AGPL a una licencia propietaria alegando que los atacantes con IA explotan mejor el código público, y dos investigadores mostraron, en parte como sátira, cómo reproducir proyectos abiertos en minutos con versiones aparentemente distintas, lo que cuestiona la ingeniería inversa de sala limpia.