VMM/VMD 에 게스트 가상 머신당 최대 64 vCPU 를 지원하는 다중 프로세서 기능을 추가하고, 32비트 Linux 게스트 호환성과 가상 장치 처리를 개선함
amd64 커널 가상 주소 공간 을 4GB에서 512GB로 확대해 4GB 초과 VRAM 매핑이 가능해졌으며, Intel Arc A-Series 그래픽 카드를 지원함
arm64 최대 절전 모드 를 추가하고 Snapdragon 노트북의 절전 복귀를 개선하는 등 노트북 지원을 확대함
OpenSSH 10.6 은 복합 양자내성 서명을 실험적으로 지원하며, LibreSSL 4.4.0 의 libtls는 TLS 1.3 연결에서 X25519MLKEM768을 우선 사용함
loongson 지원 종료 , httpd/relayd의 기본 TLS 암호군 변경, pkg_add의 기본 검색 경로 변경 등 기존 환경에 영향을 줄 수 있는 변경과 다수의 보안 수정이 포함됨
가상화와 메모리 확장
VMM/VMD 에 게스트당 최대 64 vCPU를 지원하는 다중 프로세서 기능과 x2apic 모드를 추가함
VM 소유권을 파일로 관리하도록 재설계함
누락된 lapic/ioapic 모드를 구현해 32비트 Linux 게스트 지원을 수정함
게스트 체크섬 오프로딩, MSI/MSI-X virtio 인터럽트, split-virtqueue 지원을 추가하고 qcow 처리를 개선함
vmm(4) 의 명령어와 VM 종료 처리 를 개선함
VMX 경로의 가변 길이 명령어를 지원하고 RIP 조정을 수정함
MMIO 종료 시 오류를 일으킨 게스트 물리 주소를 vmd(8) 에 전달함
잘못된 32비트/64비트 ELF 파일을 로드할 때 발생할 수 있는 범위 밖 읽기를 방지함
amd64 의 커널 가상 주소 공간 을 4GB에서 512GB로 확대함
pmap(9) 직접 매핑 영역을 무작위 위치에 배치함
amd64와 arm64에서 AES CPU 명령어를 사용해 스왑 암호화를 가속함
메모리 회수 를 위한 pagedaemon의 비활성 페이지 큐 휴리스틱을 개선하고, 더 큰 disklabel을 위한 준비를 진행함
새 getexecpath(3) API로 ELF 프로그램의 실행 경로 사본 을 얻을 수 있음
플랫폼과 그래픽 지원
arm64 에 최대 절전 모드 와 바운스 버퍼를 추가함
riscv64 의 CPU 확장 지원 을 확대함
사용자 공간에서 사용할 수 있는 확장을 elf_aux_info(3)
의 AT_HWCAP
/AT_HWCAP2
조회로 알림
커널에 V
벡터 확장, Sstc 타이머 확장, 바운스 버퍼를 추가함
RISC-V Advanced Interrupt Architecture를 지원하며 imsic(4) 와 aplic(4) 드라이버를 추가함
sparc64 는 LLVM 도구 모음 으로 전환하고 SPARCV9 메모리 정렬을 개선함
loongson 은 Clang 22에서 동작하지 않아 지원을 종료함
drm(4) 을 Linux 6.18.53 기준으로 갱신함
inteldrm(4) 에 Intel Arc A-Series(DG2/Alchemist) 지원을 추가함
amd64 주소 공간 확대에 따라 4GB를 넘는 VRAM 매핑이 가능함
일부 Alder Lake 시스템에서 발생하는 GuC 시간 초과 오류를 우회함
노트북 절전과 하드웨어
절전/복귀 지원 을 확대함
qwz(4) 와 qcuart(4) 에 절전/복귀를 지원함
ufshci(4) 가 Samsung Galaxy Book4 Edge와 HONOR MagicBook Art 14 Snapdragon에서 절전 이후에도 동작하도록 수정함
bytgpio(4) 의 깨우기 인터럽트 지원으로 IdeaPad의 절전 복귀를 수정함
machdep.lidaction=0
일 때 덮개를 닫아도 절전 중인 노트북을 깨우지 않음
최대 절전 이미지 검증 을 강화해 청크 크기 오류, 정수 오버플로, 디스크 이미지 범위 밖 읽기를 방지함
복귀 후 프레임버퍼를 정리하고, nvme(4) 의 최대 절전 전용 큐 할당 실패를 치명적 오류로 처리하지 않음
Samsung과 HONOR 노트북 지원을 개선함
Galaxy Book4 Edge의 GXTP7936 터치스크린을 활성화하고 HONOR MagicBook 터치패드의 멀티터치를 수정함
Samsung BIOS 인터페이스용 samsabi(4) 와 배터리 모니터용 sambat(4) 를 추가함
SoC와 주변 장치 지원을 확대함
SpacemiT K3의 PCIe/USB3 PHY, 클록, PCIe 컨트롤러 지원을 추가함
Qualcomm Glymur(X2) ACPI 하드웨어 ID와 SC7280 GPIO 지원을 추가함
apldart(4) 에 페이지 테이블 미러링을 구현하고 Apple USB 컨트롤러의 IOMMU를 활성화함
Rockchip OTP 메모리용 rkotp(4) 와 Radxa Zero 3의 RK8600 전압 조정기를 지원함
softraid(4) 의 4096바이트 섹터 디스크 재구축 문제와 재구축 중 메모리 누수 가능성을 수정함
유무선 네트워크와 방화벽
이더넷 장치 지원 을 확대함
em(4) 에 Panther Lake/Wildcat Lake 장치를, ix(4) 에 Intel E610을 추가함
bge(4) 의 BCM5720에 64비트 DMA를 활성화하고 ogx(4) 에 점보 프레임을 활성화함
qwx(4) 와 qwz(4) 에 802.11n/40MHz 채널 지원을 추가함
qwx의 AP 간 로밍, 펌웨어 국가 코드 처리, 초기화와 DMA 처리, 오래된 포인터로 인한 충돌을 수정함
qwz는 네이티브 Wi-Fi 프레임의 QoS를 처리함
iwx(4) 의 동적 채널 폭 변경 처리를 수정함
pf(4) 의 TCP 상태와 패킷 처리 를 강화함
조작된 리셋 패킷으로 TCP 상태가 삭제되는 문제를 방지함
출발지 주소가 지정되지 않은 유효한 MLD 패킷을 더 이상 폐기하지 않음
연결 카운터 경쟁 조건, NULL 포인터 역참조, 범위 밖 읽기를 수정함
IPv4/IPv6 조각 재조립이 올바른 라우팅 도메인에서 이루어지도록 수정함
bpf(4) 의 프로그램 경계 검증 과 명령어 검증을 강화함
libpcap CVE-2026-31912 관련 경계 검사를 추가함
veb(4) 의 패킷 손상과 커널 스택 데이터 유출 을 수정함
웹 서버와 네트워크 서비스
httpd(8) 에 사용자 지정 HTTP 헤더 를 추가하고 요청 처리를 강화함
FastCGI로 전달하는 청크 요청에도 max request body
를 적용함
RFC 9112에 따라 CL.TE 요청 프레이밍과 obs-fold를 거부함
청크 전송 업로드를 수정하고, gzip-static
사용 시 Vary: Accept-Encoding
을 알림
정적 파일의 Last-Modified
/If-Modified-Since
재검증 흐름을 유지함
공유 TLS 리스너가 서로 다른 클라이언트 CA나 CRL을 사용하는 설정을 거부함
relayd(8) 에 Lua 패턴 필터 와 CA 권한 분리 엔진의 ECDSA 지원을 추가함
설정 파일에서 로그 수준을 지정할 수 있으며 MKCALENDAR 메서드, 복수의 해석 가능한 주소, 본문 없는 HTTP 응답을 지원함
중복 Content-Length
는 400으로 거부하고, 청크 메시지에서는 Content-Length
를 제거하며 obs-fold를 거부함
기본 TLS 암호군 을 httpd는 compat
에서, relayd는 HIGH:!aNULL
에서 각각 secure
로 변경함
httpd와 smtpd(8) 는 부팅 시 무작위 재링크 를 수행함
smtpd 입력 검증과 권한 분리 를 강화함
빈 사용자 이름이나 /
가 포함된 이름, 명령행 인수에서 유래한 필드의 CR/LF를 거부함
환경과 메일 배달 에이전트에 전달하는 문자를 제한하고, 암호화된 큐 버퍼와 권한 분리 IPC의 크기를 검증함
mask-src
가 세션 상세 정보도 숨기도록 확장함
acme-client(1) 에 외부 계정 바인딩(EAB) 을 추가함
대체 이름에 와일드카드를 지정할 수 있고, base64url EAB 키의 =
패딩을 처리함
HTTP 요청 삽입을 방지하고 사용한 EAB 키 데이터를 지움
DHCP/IKE 서비스 의 비정상 입력 처리를 강화함
라우팅과 RPKI
RPKI-To-Router 프로토콜 데몬 rtrd(8) 와 제어 도구 rtrctl(8) 를 도입함
bgpd(8) 의 경로 재평가와 세션 처리 를 개선함
경로 검증 상태나 필터링 플래그만 바뀌어도 접두사를 재평가함
다중 AFI/SAFI 세션의 정상 재시작 타이머와 빠른 재접속 처리를 수정함
RTR 다운그레이드 경로에서 최소 버전을 준수하고, 잘못된 ORIGIN 속성의 경로 철회 처리를 수정함
add-path 최대 개수를 100, 설정 가능한 최대 stale time을 4095, ASPATH 속성을 750개 요소로 제한함
해제 후 사용, 정보 유출, 오버플로와 여러 입력 검증 문제를 수정함
rpki-client(8) 의 인증서 검증과 실패 복구 를 강화함
규격에 맞지 않는 인증서 subject 인코딩, 중복 확장 OID, 일부 잘못된 ROA를 거부함
실행에 성공한 경우에만 설정 파일을 출력하고 NCA 이력을 기록함
동작하지 않는 CA에 백오프 재시도를 적용하고 rsync 기본 URI에 따라 재시도를 묶음
OpenSSL 4.1에서의 버퍼 범위 밖 읽기를 수정하고, rsync 동기화에서 숨김 파일과 디렉터리를 제외함
OpenSSH 10.6
복합 양자내성 서명 mldsa44-ed25519
를 실험적으로 지원함
ssh-mldsa44-ed25519
는 @openssh.com
대신 IANA 할당 코드포인트를 사용함
Ed25519 구현을 supercop에서 libsodium으로 전환하고, 서명 가변성과 공개 키 유효성 검사를 추가함
포워딩 제한 적용 을 수정함
authorized_keys
의 restrict
가 터널 포워딩에도 올바르게 적용됨
sshd_config(5) 의 DisableForwarding=yes
가 PermitTunnel=yes
보다 우선함
적용되지 않던 ChannelTimeout
과 RekeyLimit
를 수정하고, 채널 시간 초과에 소수 및 1초 미만 값을 지원함
ssh(1) 에 인증 공개 키 조회 용 -Z user@host
모드를 추가함
TCPKeepAlive를 포워딩에도 적용함
ssh-add(1) 의 -P
로 PIN 입력을 건너뛸 수 있음
ssh-keygen(1) 에 키 블롭의 16진수 출력과 암호 변경 시 FIDO 키의 touch-required
/verify-required
플래그 변경 기능을 추가함
잠재적 부채널 유출 을 피하기 위해 LZ77 사전 코더를 비활성화함
압축 해제 후 최대 페이로드 길이를 검증하고, ML-KEM/ECDH 상호운용성 문제를 수정함
인증 전 키 파싱/검증 경로 일부를 제거하고 인증 전후 프로세스 간 전송 상태 검증을 강화함
서버가 제어하는 경로로 다운로드하는 문제와 원격 파일명 처리, 해제 후 사용 오류를 수정함
scp(1) 의 -O filename
에 NUL 바이트를 허용하지 않음
LibreSSL 4.4.0
libtls의 TLS 1.3 연결은 X25519MLKEM768 을 우선 그룹으로 사용함
SHA-3 성능을 개선하고 TLS 1.3 수신 버퍼를 필요할 때 할당함
API 호환성 변경 이 포함됨
tls_peer_cert_chain_pem()
을 폐기 예정으로 지정했으며, 향후 제거할 수 있음
대신 tls_peer_cert_chain_verified_pem()
과 tls_peer_cert_bundle_unverified_pem()
을 사용해야 함
CRYPTO_cleanup_all_ex_data()
는 아무 동작도 하지 않으며 실제 정리는 OPENSSL_cleanup(3) 이 담당함
기본 옵션에서 SSL_OP_LEGACY_SERVER_CONNECT
를 제거함
TLS/DTLS 검증 을 강화함
서버가 클라이언트가 알리지 않은 ALPN 프로토콜을 선택하면 핸드셰이크를 중단함
HelloRetryRequest, EC 공개 키, TLS 1.2 암호군 검증을 수정함
작은 조각으로 구성된 DTLS 핸드셰이크 메시지가 과도한 메모리를 소비하지 않도록 버퍼 크기를 제한함
X.509와 OCSP 보안 오류 를 수정함
이름 제약의 URI 호스트 파싱에서 IPv6 리터럴을 올바르게 처리하고, 조작된 사용자 정보로 호스트 검사를 우회하지 못하게 함
tls_config_ocsp_require_stapling()
사용 클라이언트의 OCSP 응답자 권한 검사 우회를 수정함
알려진 영향 대상은 muststaple
을 사용하는 OpenBSD nc(1) 와 ftp(1) 임
RPKI 호환성을 유지하기 위해 RFC 3779 상속 검사는 직계 발급자가 확장 하나를 생략하는 경우를 여전히 허용함
메모리 안전성과 이식성 을 개선함
CMS 복호화, PKCS#7 처리, ASN.1 처리의 범위 밖 접근과 잘못된 메모리 해제를 수정함
MSVC ARM64 최적화기의 상수 시간 큰 정수 코드 생성 오류를 수정하고, 지원 호스트에서 도구가 pledge/unveil 없이 실행되던 문제를 해결함
시스템 보안과 업데이트 동작
커널 정보 유출과 권한 문제 를 수정함
m88k 88100 데이터 파이프라인의 비특권 커널 메모리 읽기/쓰기 취약점을 제거함
ELF 구조체와 ktrace(1) 의 커널 스택 정보 유출을 수정함
실행 시 vnode 변경으로 발생하는 스크립트 경로의 TOCTOU 문제를 방지함
unveil(2) 로 man/makewhatis/man.cgi의 읽기와 쓰기를 제한함
syslogd(8) 의 부모 프로세스를 별도 실행 파일로 분리함
pax(1) 가 악성 아카이브를 작업 디렉터리 밖에 추출 하지 못하도록 수정함
주요 구성 요소의 보안 수정 을 포함함
Expat 2.8.4는 CVE-2026-66046, CVE-2026-76641, CVE-2026-76957을 수정함
perl(1) 의 Storable, pack/unpack, 정규식, Socket 관련 취약점을 수정함
LibXfont 2, Xserver(1) , nsd(8) 의 보안 수정도 포함됨
pkg_add(1) 의 기본 검색 경로에서 현재 디렉터리 를 제거함
fw_update(8) 의 펌웨어 검증 을 강화함
다운로드 파일 크기를 제한하고, 신뢰하지 않는 주석을 데이터로 취급하지 않음
로컬 SHA256.sig
의 서명을 검사하고, 예상 경로 밖 파일은 추출하지 않음
사용자 도구와 업그레이드
tmux(1) 에 모달 패널 과 new-pane
명령을 추가함
모달 패널이 모든 키 입력을 받는 기능과 테두리 없는 메뉴를 지원함
capture-pane
에서 하이퍼링크, 줄 번호, 줄 플래그를 출력할 수 있음
refresh-now
, 패널 제목 변경, 그룹 내 모든 세션 종료 기능을 추가하고 프롬프트를 대폭 재작업함
오디오와 시스템 도구 를 개선함
패키지와 개발 도구 에는 Go 1.27.1, Rust 1.98.1, Python 3.14.7, Node.js 24.21.0, PostgreSQL 18.6 등이 포함됨
Wayland 1.26.0과 CoW, Labwc, Mango, Niri, Sway, Wayfire 컴포지터를 제공함
OpenBSD 7.9에서 재설치 없이 업그레이드 하는 절차는 업그레이드 가이드 에서 확인할 수 있음
댓글과 토론