Fedora 45 llega con RPM 6.1, que bloquea los paquetes sin firmar

Fedora Linux 45 salió el 3 de noviembre de 2026, y su herramienta de paquetes ya no instala nada que no tenga una firma verificada. Eso afecta a quien compile sus propios archivos RPM o descargue uno del sitio web de un proveedor. Un comando que funcionaba en Fedora 44 ahora se detiene con un error.

El anuncio de Fedora Magazine promete "mejoras pulidas del escritorio, nuevas y potentes funciones del instalador y cadenas de herramientas actualizadas". El lanzamiento se retrasó dos veces respecto al objetivo del 20 de octubre, informa Linux Compatible. Cada retraso siguió a una votación "no-go", cuando los probadores encontraron un problema que bloqueaba el lanzamiento.

Qué cambió en RPM 6.1

RPM es el formato de paquetes y el instalador de Fedora, Red Hat Enterprise Linux y sus parientes. Una firma es un sello criptográfico. Demuestra quién compiló un paquete y que nadie lo ha cambiado desde entonces.

Fedora 45 "cambia el modo de verificación de paquetes predeterminado de RPM 6.1 a una comprobación obligatoria de firmas", escribe Jef Spaleta, líder del Proyecto Fedora, en el blog de Red Hat. La página del cambio en Fedora, a cargo de Panu Matilainen, lo dice de forma más directa: "solo se pueden instalar los paquetes con una firma verificada".

El cambio es un solo ajuste, %_pkgverify_level. Pasa de digest, que solo comprueba que el archivo no esté dañado, a all, que además exige una firma válida. Según la página del cambio, también falla un paquete firmado con una clave que el sistema no ha importado. Fedora planeó primero el cambio junto con RPM 6.0 y lo aplazó a Fedora 45 "por razones de tiempo y recursos".

Probado: un paquete sin firmar en Fedora 44 y 45

En una prueba de Tech AI Wire en macOS 26.6.2 con Docker Desktop 28.4.0, las imágenes de contenedor oficiales fedora:44 y fedora:45 ejecutaron el mismo paquete de prueba sin firmar. Ambas imágenes se compilaron el 2 de noviembre para arm64. El paquete, taw-hello, se compiló con rpmbuild dentro de Fedora 45 y no lleva firma.

Comprobación	Fedora 44	Fedora 45
rpm --version	6.0.2	6.1.0
rpm --eval "%_pkgverify_level"	digest	all
rpmkeys --checksig	"digests OK", código de salida 0	"digests SIGNATURES NOT OK", código de salida 1
rpm -i	instalado, código de salida 0	rechazado, código de salida 1
rpm -i --nosignature	instalado	instalado
dnf install del archivo local	instalado, con una advertencia	instalado, con una advertencia

En Fedora 45, un rpm -i normal mostró una línea y se detuvo:

$ rpm -i /pkgs/taw-hello-1.0-1.noarch.rpm
	package taw-hello-1.0-1.noarch does not verify: no signature

DNF, el gestor de paquetes de más alto nivel de Fedora, se comportó de otra manera. En ambas versiones, dnf install del archivo local mostró "Warning: skipped OpenPGP checks for 1 package from repository: @commandline" y lo instaló. Así que la nueva regla afecta a los scripts y herramientas que llaman a rpm directamente, no a un dnf install normal.

La prueba también confirmó la vuelta atrás para todo el sistema. Tras escribir la línea %_pkgverify_level digest en /etc/rpm/macros.verify, el rpm -i de Fedora 45 volvió a instalar el paquete sin firmar.

Cuatro formas de instalar ahora un paquete local

La página del cambio enumera las vías admitidas. Cada una sirve para un caso distinto:

• Una instalación puntual: añadir --nosignature al comando rpm, o usar dnf install, que se saltó la comprobación en la prueba anterior.
• Tus propias compilaciones: RPM 6.0 y posteriores pueden firmar automáticamente las compilaciones locales con una clave sin contraseña. Mock, la herramienta de Fedora para entornos de compilación limpios, tiene un plugin de firma. COPR, el servicio de compilación comunitario de Fedora, firma los paquetes por su cuenta.
• Los paquetes de un proveedor: importar la clave de firma del proveedor, para que su firma se verifique. DNF5 en la versión 5.2.14.0 o posterior también puede desactivar la comprobación para un solo repositorio con gpgcheck=0.
• Todo el sistema: la línea de macros.verify de arriba devuelve el comportamiento anterior. También quita la protección, así que conviene dejarla como último recurso.

Otros cambios de Fedora 45 que pueden romper scripts

Los mismos contenedores consultaron el 4 de noviembre a los repositorios de paquetes de Fedora qué versiones ofrece cada edición para arm64:

Paquete	Fedora 44	Fedora 45
Python	3.14.10	3.15.0
Go	1.26.10	1.27.3
LLVM	22.1.8	23.1.4
glibc	2.43	2.44
Perl	5.42.3	5.44.0
Podman	5.8.9	6.1.3
Servidor MySQL	8.4.10	9.7.2
Servidor MariaDB	11.8.8	12.3.2
pandas	2.3.3	3.0.6
GCC	16.2.1	16.2.1
Kernel Linux	7.2.15	7.2.15

Fedora 45 sigue ofreciendo MySQL 8.4 como paquete aparte, mysql8.4-server, en la versión 8.4.11. Otros cuatro cambios pueden romper instalaciones existentes:

• Archivos de repositorio movidos: en la imagen de Fedora 45, /etc/yum.repos.d/ está vacío. Los archivos de repositorio de Fedora están en /usr/share/dnf5/repos.d/. Linux Compatible advierte que los scripts que usan las rutas antiguas se romperán.
• Podman 6 elimina slirp4netns, cgroups v1 y el motor de base de datos BoltDB, según la lista de cambios de Fedora. Linux Compatible recomienda pasar a SQLite y usar --network=pasta.
• Depuración: ptrace, el mecanismo del kernel que usan los depuradores, ahora está restringido para los usuarios sin privilegios, según la entrada de Red Hat. Instalar los paquetes de depuración devuelve el rastreo normal.
• Dos plugins de VPN retirados: NetworkManager-vpnc y NetworkManager-fortisslvpn "quedarán obsoletos a partir de Fedora Linux 45", dice el anuncio.

La edición KDE pasa a Plasma 6.8, la versión que eliminó la sesión X11. Fedora 45 también sustituye la consola del kernel por kmscon, un cambio que apareció primero en la beta.

Qué significa esto para los desarrolladores

Antes de actualizar, busca en los scripts de compilación, los Dockerfiles y los trabajos de CI las llamadas directas a rpm -i sobre archivos que compila tu equipo. Son esas llamadas las que ahora fallan. Firmar los paquetes internos es la solución duradera. Añadir --nosignature en todas partes trae de vuelta el riesgo que el cambio elimina.

Revisa cualquier herramienta de configuración que escriba o edite archivos en /etc/yum.repos.d/. Prueba el código con Python 3.15 y pandas 3 antes de mover los trabajos de datos. Planifica el salto a MySQL 9.7 o fija mysql8.4-server. Una prueba en contenedores solo cubre las herramientas de paquetes. No arranca el escritorio, la consola ni el kernel.

Los usuarios de Fedora 44 actualizan con sudo dnf upgrade --refresh, luego sudo dnf system-upgrade download --releasever=45 y sudo dnf offline reboot, según Linux Compatible. Fedora 45 recibe actualizaciones hasta el 8 de diciembre de 2027, la fecha que figura en su propio archivo /etc/os-release.